OpenAI lancerer Codex Security til at finde sårbarheder i kode

OpenAI udgav Codex Security den 6. marts. Det er en AI-drevet agent til applikationssikkerhed, der scanner kodebaser for sårbarheder, validerer fund i isolerede testmiljøer og foreslår rettelser. Værktøjet har allerede fundet fejl i OpenSSH, Chromium og fem andre meget anvendte open source-projekter. Fundene har fået 14 CVE-betegnelser (Common Vulnerabilities and Exposures).

Codex Security hed tidligere Aardvark og var i lukket beta i omtrent et år, før det blev tilgængeligt som en forskningsforhåndsversion for kunder med ChatGPT Pro, Enterprise, Business og Edu. OpenAI tilbyder gratis adgang den første måned.

Agenten adskiller sig fra traditionelle værktøjer til statisk analyse ved at opbygge en projektspecifik trusselsmodel før scanningen. Den analyserer et kodelagers arkitektur for at forstå, hvad systemet gør, hvad det har tillid til, og hvor eksponeringen er størst. Teams kan redigere trusselsmodellen, så fundene stemmer overens med deres tilgang til risiko. Når et tilpasset miljø er konfigureret, afprøver Codex Security potentielle sårbarheder direkte på det kørende system og genererer kode, der demonstrerer udnyttelsen, for at bekræfte den faktiske virkning.

Ydeevne i stor skala

I de seneste 30 dages betatest scannede Codex Security mere end 1,2 millioner commits i eksterne kodelagre og identificerede 792 kritiske fund og 10.561 problemer med høj alvorlighedsgrad. Kritiske sårbarheder forekom i færre end 0,1 % af de scannede commits. Det tyder på, at systemet kan behandle store kodebaser og samtidig holde støjen på et niveau, som kontrollanterne kan håndtere.

OpenAI oplyser, at præcisionen blev væsentligt forbedret under betafasen. I ét tilfælde faldt støjen med 84 % mellem den første udrulning og den nuværende version. På tværs af alle kodelagre faldt andelen af falske positiver med mere end 50 %, og fund med overvurderet alvorlighedsgrad faldt med over 90 %. Agenten inddrager også feedback: Når brugere ændrer, hvor kritisk et fund er, tilpasser den trusselsmodellen til de næste scanninger.

Tallene imødekommer en vedvarende indvending fra sikkerhedsteams, der vurderer AI-værktøjer til programmering. En analyse fra 2025 af 80 programmeringsopgaver med mere end 100 store sprogmodeller viste, at AI-genereret kode indfører sikkerhedssårbarheder i 45 % af tilfældene, hvilket gør detektionsværktøjer senere i udviklingsprocessen stadig vigtigere, efterhånden som AI-skrevet kode bliver mere udbredt.

Sårbarheder fundet i open source-projekter

OpenAI har kørt Codex Security på de open source-kodelagre, som virksomheden er afhængig af, og rapporteret fund med stor indvirkning til projekternes vedligeholdere. Den offentliggjorte liste omfatter OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP og Chromium. To af de 14 sårbarheder, der fik CVE-betegnelser, blev også rapporteret af andre forskere.

Ifølge OpenAI viste samtaler med vedligeholderne, at hovedproblemet ikke var mangel på sårbarhedsrapporter, men for mange rapporter af lav kvalitet. Vedligeholderne havde brug for færre falske positiver og en mindre arbejdsbyrde ved vurdering og prioritering. Denne feedback bidrog til, at Codex Security prioriterer fund med høj pålidelighed frem for antallet af fund.

Virksomheden annoncerede også Codex for OSS, et program, der giver vedligeholdere af open source-projekter gratis ChatGPT Pro- og Plus-konti, støtte til kodegennemgang og adgang til Codex Security. vLLM-projektet har allerede brugt værktøjet til at finde og rette problemer i sin normale arbejdsgang. OpenAI planlægger at udvide programmet i de kommende uger.

Lanceringen gør OpenAI til en direkte aktør på markedet for applikationssikkerhed, hvor virksomheder som Snyk, Semgrep og Veracode allerede har etableret sig. Google (GOOGL ) offentliggjorde for nylig en detaljeret sikkerhedsarkitektur for sine egne AI-agentfunktioner i Chrome. Det viser, at samspillet mellem AI-agenter og sikkerhedsværktøjer tiltrækker opmærksomhed fra flere sider.

Flere spørgsmål står ubesvarede. OpenAI har ikke offentliggjort priserne efter den gratis prøveperiode eller oplyst, hvilken af de mest avancerede modeller der driver Codex Securitys ræsonnement. Værktøjet fungerer i øjeblikket via webversionen af Codex og tilbyder ikke integration på API-niveau. Det kan begrænse udbredelsen blandt teams, der allerede har automatiserede sikkerhedsprocesser. Om Codex Security kan fastholde den forbedrede præcision, når brugen udvides ud over betafasen, og om vedligeholdere af open source-projekter tager programmet i brug i betydeligt omfang, vil afgøre, om agenten bliver en varig del af værktøjskæden til AI-assisteret udvikling eller forbliver en forskningsforhåndsversion.