Was ist OpenQodex?
OpenQodex prüft die Änderung, die dein Coding-Agent gemacht hat, also nicht gepushte Commits plus nicht committete Arbeit, bevor sie deinen Rechner verlässt. Zuerst laufen die von seinen 22 eingebauten Scannern, die zu den geänderten Dateien passen (darunter gitleaks und semgrep), und nur Funde auf geänderten Zeilen bleiben. Dann startet es frische Claude-Code- oder Codex-Prozesse mit deinem eigenen Login: Finder-Sitzungen schlagen Probleme mit einer zitierten Zeile als Beleg vor, ein Skript prüft jedes Zitat gegen den Code, und Verifier-Sitzungen müssen jeden Kandidaten mit Begründung bestätigen oder widerlegen.
Heraus kommt eine Quittung mit einem Urteil und einer Zeile pro Fund, dazu Berichte in HTML, Markdown, JSON und SARIF. Ein Push-Gate und ein git-pre-push-Hook warnen standardmäßig und blockieren erst ab einem Schweregrad, den du festlegst. Ein separater Codegraph, lokal ohne Modell für TypeScript, JavaScript, Python, Go, Ruby und Java gebaut, beantwortet über einen MCP-Server mit 20 Tools Fragen wie die, wer eine Funktion aufruft.
Gepflegt wird es von Qodex, das auch einen gehosteten Review-Dienst für Pull Requests verkauft. Das Repository wurde im Oktober 2026 angelegt, ist in TypeScript unter Apache-2.0 geschrieben, hat rund 1.170 GitHub-Sterne und steht bei 0.18.0 (11. November 2026); installiert wird es mit npx openqodex init.
Lohnt sich OpenQodex?
OpenQodex trifft die Struktur von Agenten-Reviews richtig: Die Sitzung, die den Code geschrieben hat, sollte nicht diejenige sein, die ihn abnimmt. Ein frischer Reviewer-Prozess ohne Erinnerung an deine Sitzung liest die Änderung, ein Skript prüft jede zitierte Zeile, und jeder Scanner-Fund muss beantwortet werden. Der Bericht nennt jede Stufe, die nicht lief, und ein Review mit fehlender Stufe endet als unvollständig, statt stillschweigend durchzugehen.
Die Benchmark-Tabelle ist offener als die meisten, und sie schneidet in beide Richtungen. Auf dem projekteigenen Satz eingepflanzter Fehler fand Claude Code mit claude-opus-5-5 150 von 153 Fehlern (98.0%) für $0.4371 pro Review, gegenüber 129 von 153 (84.3%) für $0.0870 unter einer früheren Bewertungsversion. Codex mit gpt-6.1-sol fand 115 von 153 (75.2%). Bei AACR-Bench, einem Satz echter Pull Requests, bewertet mit dessen eigenem Evaluator, erreichte der Bibliotheksmodus mit gpt-6.1-sol 8.5% semantischen F1 bei einer Rauschrate von 77.2%. Eingepflanzte Fehler sind der leichte Fall; bei echten Änderungen übersieht es die meisten Probleme, und das meiste, was es meldet, ist Rauschen.
Datenschutz ist die stärkste Seite. Die Datenschutzseite listet jede Netzwerknutzung auf: OpenQodex sammelt keine Nutzungsdaten, Absturzberichte oder Kennungen, semgrep läuft mit abgeschalteten Metriken, und die Abhängigkeitsprüfung sendet nur Paketnamen und Versionen an osv.dev. Deine Änderung geht trotzdem an das Modell hinter deinem Claude-Code- oder Codex-Login, und standardmäßig darf der Reviewer im Web suchen, sofern reviewer_web nicht auf off steht. Der MCP-Server des lokalen Codegraphen öffnet keinen Netzwerkport.
Die Grenzen sind praktischer Natur. Nur Claude Code und Codex können prüfen, Nutzer von Cursor, Cline und Goose brauchen also eines davon installiert; nichts wird unter Windows oder WSL getestet; und mit 107 offenen Issues und Pull Requests, sechs Wochen nach Anlage des Repositorys, können sich Befehle und Konfiguration zwischen Minor-Releases noch ändern. Gegenüber Alibabas open-code-review tauscht OpenQodex dessen niedrigere Token-Rechnung gegen ein schwereres, verifiziertes Review auf einem Abo, das du ohnehin bezahlst.
Wo es sich lohnt
Ein Solo-Entwickler, der eine überwiegend mit Claude Code geschriebene Next.js-App ausliefert
Jede Änderung vor dem Push auf main unabhängig prüfen lassen
npx openqodex init installiert Skill, Push-Gate und pre-push-Hook; man bittet den Agenten, mit openqodex zu prüfen, und wählt aus, welche Funde er behebt. Das Review läuft über das bestehende Abo; der Hersteller maß $0.4371 pro Review mit claude-opus-5-5 auf seinem Satz eingepflanzter Fehler.
Ein achtk öpfiges Plattformteam auf GitHub mit Terraform- und Kubernetes-Manifesten
Geleakte Secrets, verwundbare Abhängigkeiten und falsch konfigurierte Infrastruktur in Pull Requests finden
Die GitHub Action mit einem Anthropic-API-Schlüssel für volle Reviews einbinden oder ohne für reine Scanner-Läufe; Funde landen als SARIF im Code Scanning. review.block_on_severity setzen, sobald das Team dem Signal traut, denn beide Gates warnen standardmäßig nur.
Ein sicherheitsbewusstes Beratungshaus, das an Kundencode arbeitet
Agentenarbeit prüfen, ohne Code an einen neuen Dritten zu senden
Mit --offline laufen lassen, um Netzwerk-Scanner, Downloads und die Versionsprüfung zu überspringen, und reviewer_web auf off setzen; der Code geht dann nur an das Modell hinter dem bestehenden Claude-Code- oder Codex-Login.
Bevor du dich festlegst
- Einrichtung
- Node 22 oder neuer und git unter macOS oder Linux, dazu Claude Code oder Codex installiert und angemeldet; npx openqodex init erkennt die Agenten, listet die Dateien auf, die es schreibt, fragt einmal, lädt die Scanner, die das Repository braucht, und prüft die aktuelle Änderung.
- Integrationen
- Claude Code, Codex CLI, Cursor, Cline und Goose starten Reviews; Claude Code und Codex können Reviewer sein; GitHub Action mit SARIF-Upload ins Code Scanning; pre-commit-Hook; MCP-Server für den Codegraphen; eigene SARIF-Scanner von GitHub nach Freigabe mit openqodex trust; eine Node-Bibliothek.
- Daten und Datenschutz
- Keine Telemetrie, keine Absturzberichte oder Kennungen; kein Server, kein Konto. Der Reviewer sendet das Briefing und die gelesenen Dateien an dein Claude-Code- oder Codex-Modell; osv-scanner sendet Namen und Versionen der Abhängigkeiten an osv.dev; gitleaks-Treffer werden aus Briefings und Berichten entfernt. Berichte bleiben unter .openqodex/ im Repository. Apache-2.0.
- Kosten im großen Maßstab
- Keine bezahlte Ausgabe des Werkzeugs. Kosten sind Reviewer-Tokens auf deinem bestehenden Abo oder, in der GitHub Action, auf deinem Anthropic-API-Schlüssel; der Hersteller nennt $0.4371 pro Review auf seinem Satz eingepflanzter Fehler mit claude-opus-5-5. Der gehostete Review-Dienst von Qodex ist getrennt, sein Preis steht nicht auf openqodex.com.
- Grenzen
- Kein anderer Reviewer als Claude Code oder Codex und kein Review mit eigenem API-Schlüssel außerhalb der GitHub Action; Codex kann nicht aus der eigenen Sandbox heraus prüfen; keine Windows-Unterstützung; einige Scanner brauchen installiertes Ruby, Go oder Cargo; osv.dev und Semgrep-Regelpakete brauchen Netzwerk.
Was gut ist
- Getrennter Reviewer-Prozess; Skripte prüfen Zitate und Abdeckung
- 22 eingebaute Scanner, Funde auf geänderte Zeilen beschränkt
- Keine Telemetrie; die Datenschutzseite listet jeden Netzwerkaufruf
- Läuft über ein bestehendes Claude-Code- oder Codex-Login
Was nicht
- 8.5% semantischer F1 bei echten Pull Requests im eigenen AACR-Bench-Lauf
- Nur Claude Code oder Codex können als Reviewer dienen
- Nur macOS und Linux; ungetestet unter Windows und WSL
- Vor 1.0: Konfiguration und Befehle ändern sich zwischen Minor-Releases
Am besten für
Entwickler unter macOS oder Linux, die Claude Code oder Codex den Großteil ihrer Änderungen schreiben lassen und vor jedem Push ein unabhängiges, belegtes Review wollen, ohne neues Konto oder neue Rechnung.
Alternativen zu OpenQodex
OpenQodex: häufige Fragen
- Lohnt sich OpenQodex?
- OpenQodex baut die zweite Meinung, die ein Coding-Agent vor jedem Push bekommen sollte, und seine Belegprüfungen sind solide, doch die eigenen Zahlen mit echten Pull Requests zeigen, wie viel es noch übersieht. Wir bewerten es mit 3.9 von 5.
- Was kostet OpenQodex?
- Kostenlos und Open Source (Apache-2.0), ohne eigenes Konto oder eigenen Schlüssel. Reviews laufen über dein bestehendes Claude-Code- oder Codex-Login; das vollständige Review der GitHub Action braucht einen Anthropic-API-Schlüssel.
- Welche Nachteile hat OpenQodex?
- 8.5% semantischer F1 bei echten Pull Requests im eigenen AACR-Bench-Lauf; Nur Claude Code oder Codex können als Reviewer dienen; Nur macOS und Linux; ungetestet unter Windows und WSL; Vor 1.0: Konfiguration und Befehle ändern sich zwischen Minor-Releases.
- Für wen eignet sich OpenQodex?
- Entwickler unter macOS oder Linux, die Claude Code oder Codex den Großteil ihrer Änderungen schreiben lassen und vor jedem Push ein unabhängiges, belegtes Review wollen, ohne neues Konto oder neue Rechnung.
- Was kostet OpenQodex für ein Team oder im Produktivbetrieb?
- Keine bezahlte Ausgabe des Werkzeugs. Kosten sind Reviewer-Tokens auf deinem bestehenden Abo oder, in der GitHub Action, auf deinem Anthropic-API-Schlüssel; der Hersteller nennt $0.4371 pro Review auf seinem Satz eingepflanzter Fehler mit claude-opus-5-5. Der gehostete Review-Dienst von Qodex ist getrennt, sein Preis steht nicht auf openqodex.com.
- Ist OpenQodex sicher für Firmendaten?
- Keine Telemetrie, keine Absturzberichte oder Kennungen; kein Server, kein Konto. Der Reviewer sendet das Briefing und die gelesenen Dateien an dein Claude-Code- oder Codex-Modell; osv-scanner sendet Namen und Versionen der Abhängigkeiten an osv.dev; gitleaks-Treffer werden aus Briefings und Berichten entfernt. Berichte bleiben unter .openqodex/ im Repository. Apache-2.0.
- Was sind die besten Alternativen zu OpenQodex?
- Die nächsten Alternativen, die wir getestet haben, sind Open Code Review und OpenAI Codex CLI.
Antworten geprüft am 13. Nov. 2026.