OpenAI تطلق Codex Security لاكتشاف الثغرات في الشيفرة البرمجية

أطلقت OpenAI Codex Security في 6 مارس، وهو وكيل لأمن التطبيقات مدعوم بالذكاء الاصطناعي يفحص قواعد الشيفرة البرمجية بحثًا عن الثغرات، ويتحقق من النتائج في بيئات معزولة، ويقترح تصحيحات. وقد اكتشفت الأداة بالفعل عيوبًا في OpenSSH وChromium وخمسة مشاريع أخرى مفتوحة المصدر واسعة الاستخدام، وأسفرت هذه الاكتشافات عن تخصيص 14 معرّفًا ضمن نظام الثغرات الأمنية والتعرّضات الشائعة (CVE).

كان Codex Security يُعرف سابقًا باسم Aardvark، وأمضى نحو عام في اختبار تجريبي خاص قبل الانتقال إلى معاينة بحثية متاحة لعملاء ChatGPT Pro وEnterprise وBusiness وEdu. وتتيح OpenAI استخدامه مجانًا خلال الشهر الأول.

يختلف الوكيل عن أدوات التحليل الساكن التقليدية في أنه يبني نموذج تهديدات خاصًا بالمشروع قبل بدء الفحص. ويحلل بنية المستودع لفهم ما يفعله النظام، وما يثق به، وأين يكون التعرّض للمخاطر أكبر. ويمكن للفرق تعديل نموذج التهديدات حتى تتوافق النتائج مع نهجها في التعامل مع المخاطر. وعند إعداد بيئة مخصصة له، يختبر Codex Security الثغرات المحتملة مباشرة على النظام قيد التشغيل، وينشئ شيفرات استغلال لإثبات المفهوم من أجل التأكد من تأثيرها الفعلي.

الأداء على نطاق واسع

خلال الأيام الثلاثين الماضية من الاختبار التجريبي، فحص Codex Security أكثر من 1.2 مليون عملية إيداع تغييرات في مستودعات خارجية، وكشف عن 792 نتيجة مصنّفة حرجة و10,561 مشكلة عالية الخطورة. وظهرت ثغرات حرجة في أقل من 0.1% من عمليات الإيداع المفحوصة، مما يشير إلى قدرة النظام على معالجة قواعد شيفرة كبيرة مع إبقاء النتائج غير المفيدة ضمن مستوى يمكن للمراجعين التعامل معه.

تقول OpenAI إن الدقة تحسنت كثيرًا خلال المرحلة التجريبية. ففي إحدى الحالات، انخفضت النتائج غير المفيدة بنسبة 84% بين الإصدار الأولي والإصدار الحالي. وعبر المستودعات مجتمعة، تراجعت معدلات الإنذارات الإيجابية الكاذبة بأكثر من 50%، وانخفضت النتائج التي بُولغ في تقدير خطورتها بأكثر من 90%. ويستفيد الوكيل أيضًا من الملاحظات: فعندما يعدّل المستخدمون تصنيف خطورة نتيجة ما، ينقّح نموذج التهديدات استعدادًا للفحوص اللاحقة.

تستجيب هذه الأرقام لشكوى متكررة لدى فرق الأمن التي تقيّم أدوات البرمجة بالذكاء الاصطناعي. فقد وجد تحليل أُجري عام 2025 وشمل 80 مهمة برمجية عبر أكثر من 100 نموذج لغوي كبير أن الشيفرة التي يولّدها الذكاء الاصطناعي تُدخل ثغرات أمنية في 45% من الحالات، وهو ما يزيد أهمية أدوات الكشف المستخدمة في المراحل التالية لإنتاج الشيفرة مع تزايد انتشار الشيفرة المكتوبة بالذكاء الاصطناعي.

اكتشاف ثغرات في البرمجيات مفتوحة المصدر

تُشغّل OpenAI أداة Codex Security على مستودعات البرمجيات مفتوحة المصدر التي تعتمد عليها، وتبلّغ القائمين على صيانتها بالنتائج ذات التأثير الكبير. وتشمل القائمة المعلنة OpenSSH وGnuTLS وGOGS وThorium وlibssh وPHP وChromium. ومن بين معرّفات CVE الأربعة عشر المخصصة، تعلّق اثنان بثغرات أبلغ عنها باحثون آخرون أيضًا.

وقالت OpenAI إن محادثاتها مع القائمين على الصيانة أظهرت أن التحدي الرئيسي لم يكن نقص تقارير الثغرات، بل كثرة التقارير منخفضة الجودة. فقد كانوا بحاجة إلى تقليل الإنذارات الإيجابية الكاذبة وتخفيف عبء فرز النتائج وتحديد أولوياتها. وأسهمت هذه الملاحظات في توجيه Codex Security نحو التركيز على النتائج عالية الثقة بدلًا من كثرتها.

وأعلنت الشركة أيضًا برنامج Codex for OSS، الذي يقدّم للقائمين على صيانة المشاريع مفتوحة المصدر حسابات ChatGPT Pro وPlus مجانية، ودعمًا لمراجعة الشيفرة، وإمكانية استخدام Codex Security. وقد استخدم مشروع vLLM الأداة بالفعل لاكتشاف مشكلات وتصحيحها ضمن سير عمله المعتاد. وتعتزم OpenAI توسيع البرنامج خلال الأسابيع المقبلة.

يضع هذا الإطلاق OpenAI في موقع مشارك مباشر في سوق أمن التطبيقات، حيث رسّخت شركات مثل Snyk وSemgrep وVeracode حضورها. ونشرت Google (GOOGL ) مؤخرًا بنية أمنية مفصلة لميزات وكلائها المعتمدين على الذكاء الاصطناعي في Chrome، مما يشير إلى أن التقاء وكلاء الذكاء الاصطناعي بأدوات الأمن يجذب الاهتمام من جهات متعددة.

ولا تزال أسئلة عدة بلا إجابة. فلم تكشف OpenAI عن الأسعار بعد انتهاء الفترة التجريبية المجانية، ولم تحدد أي نموذج من نماذج الطليعة يشغّل قدرات الاستدلال في Codex Security. وتعمل الأداة حاليًا عبر نسخة الويب من Codex، ولا تقدّم تكاملًا على مستوى واجهة برمجة التطبيقات، مما قد يحدّ من تبنّيها لدى الفرق التي تستخدم بالفعل مسارات عمل مؤتمتة للأمن. وستحدّد قدرة Codex Security على الحفاظ على تحسينات الدقة عند التوسع إلى ما بعد المرحلة التجريبية، ومدى تبنّي القائمين على صيانة المشاريع مفتوحة المصدر للبرنامج على نطاق ملموس، ما إذا كان الوكيل سيصبح عنصرًا دائمًا في منظومة التطوير بمساعدة الذكاء الاصطناعي أم سيظل معاينة بحثية.