OpenAI vydává Codex Security pro hledání zranitelností v kódu

Společnost OpenAI vydala Codex Security 6. března. Jde o agenta pro zabezpečení aplikací využívajícího umělou inteligenci, který hledá zranitelnosti ve zdrojovém kódu, ověřuje nálezy v izolovaných prostředích a navrhuje opravy. Nástroj už odhalil chyby v OpenSSH, Chromiu a dalších pěti široce používaných open-source projektech. Objeveným zranitelnostem bylo přiděleno 14 identifikátorů CVE (Common Vulnerabilities and Exposures).

Codex Security, dříve známý jako Aardvark, strávil přibližně rok v uzavřeném beta testování, než se stal dostupným jako výzkumná předběžná verze pro zákazníky ChatGPT Pro, Enterprise, Business a Edu. OpenAI nabízí první měsíc přístup zdarma.

Agent se od běžných nástrojů statické analýzy liší tím, že před skenováním sestavuje model hrozeb specifický pro daný projekt. Analyzuje architekturu repozitáře, aby porozuměl tomu, co systém dělá, čemu důvěřuje a kde je nejvíce vystaven riziku. Týmy mohou model hrozeb upravovat tak, aby nálezy odpovídaly jejich přístupu k rizikům. Pokud je pro něj nakonfigurováno přizpůsobené prostředí, Codex Security prověřuje možné zranitelnosti přímo na běžícím systému a vytváří demonstrační exploity, které potvrzují skutečný dopad.

Výkon ve velkém měřítku

Za posledních 30 dní beta testování Codex Security prohledal více než 1,2 milionu commitů v externích repozitářích a odhalil 792 kritických nálezů a 10 561 problémů s vysokou závažností. Kritické zranitelnosti se objevily u méně než 0,1 % prověřených commitů. To naznačuje, že systém dokáže zpracovávat rozsáhlý zdrojový kód a zároveň udržet množství informačního šumu na úrovni zvládnutelné pro hodnotitele.

OpenAI uvádí, že se přesnost během beta testování výrazně zlepšila. V jednom případě šum mezi prvním nasazením a současnou verzí klesl o 84 %. V souhrnu všech repozitářů se podíl falešně pozitivních výsledků snížil o více než 50 % a nálezů s nadhodnocenou závažností ubylo o více než 90 %. Agent využívá také zpětnou vazbu: když uživatelé upraví kritičnost nálezu, zpřesní model hrozeb pro další skenování.

Tato čísla reagují na dlouhodobou výhradu bezpečnostních týmů, které hodnotí programovací nástroje s AI. Analýza z roku 2025 zahrnující 80 programovacích úloh a více než 100 velkých jazykových modelů zjistila, že kód generovaný AI vnáší bezpečnostní zranitelnosti ve 45 % případů, což zvyšuje význam detekčních nástrojů používaných v dalších fázích vývoje s tím, jak se kód psaný AI šíří.

Zranitelnosti odhalené v open-source projektech

OpenAI používala Codex Security na open-source repozitářích, na nichž sama závisí, a nálezy s velkým dopadem hlásila správcům projektů. Zveřejněný seznam zahrnuje OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP a Chromium. Dvě ze 14 zranitelností s přidělenými identifikátory CVE oznámili také další výzkumníci.

Podle OpenAI z rozhovorů se správci vyplynulo, že hlavním problémem není nedostatek hlášení zranitelností, ale nadbytek nekvalitních hlášení. Správci potřebovali méně falešně pozitivních výsledků a menší zátěž při vyhodnocování a určování priorit. Tato zpětná vazba vedla Codex Security k důrazu na vysoce důvěryhodné nálezy místo jejich množství.

Společnost oznámila také Codex for OSS, program poskytující správcům open-source projektů bezplatné účty ChatGPT Pro a Plus, podporu při revizi kódu a přístup ke Codex Security. Projekt vLLM už nástroj využil k nalezení a opravě problémů v rámci svého běžného pracovního postupu. OpenAI plánuje program v příštích týdnech rozšířit.

Uvedení nástroje přivádí OpenAI přímo na trh zabezpečení aplikací, kde už mají pevné postavení společnosti jako Snyk, Semgrep a Veracode. Google (GOOGL ) nedávno zveřejnil podrobnou bezpečnostní architekturu pro vlastní funkce AI agentů v Chromu. Ukazuje to, že propojení AI agentů a bezpečnostních nástrojů přitahuje pozornost z více stran.

Několik otázek zůstává nezodpovězených. OpenAI nezveřejnila ceny po skončení bezplatného zkušebního období ani neuvedla, který z nejpokročilejších modelů zajišťuje uvažování Codex Security. Nástroj nyní funguje přes webovou verzi Codex a nenabízí integraci na úrovni API. To může omezovat jeho zavádění v týmech, které už mají automatizované bezpečnostní procesy. Zda si Codex Security udrží zlepšenou přesnost při rozšiřování provozu za hranice beta fáze a zda správci open-source projektů začnou program používat ve významném měřítku, rozhodne o tom, jestli se agent stane trvalou součástí nástrojů pro vývoj s pomocí AI, nebo zůstane výzkumnou předběžnou verzí.