OpenAI lanza Codex Security para encontrar vulnerabilidades en el código

OpenAI lanzó Codex Security el 6 de marzo, un agente de seguridad de aplicaciones impulsado por IA que escanea las bases de código en busca de vulnerabilidades, valida los hallazgos en entornos aislados y propone parches. La herramienta ya ha descubierto fallos en OpenSSH, Chromium y cinco proyectos de código abierto ampliamente utilizados, lo que ha llevado a 14 designaciones de Vulnerabilidades y Exposiciones Comunes (CVE).

Codex Security, anteriormente conocido como Aardvark, pasó aproximadamente un año en beta privada antes de graduarse a una vista previa de investigación disponible para los clientes de ChatGPT Pro, Enterprise, Business y Edu. OpenAI ofrece acceso gratuito durante el primer mes.

El agente difiere de las herramientas de análisis estático convencionales al construir un modelo de amenaza específico del proyecto antes de escanear. Analiza la arquitectura del repositorio para entender qué hace el sistema, qué confía y dónde está más expuesto. Los equipos pueden editar el modelo de amenaza para mantener los hallazgos alineados con su postura de riesgo. Cuando se configura con un entorno personalizado, Codex Security prueba las vulnerabilidades potenciales directamente contra el sistema en ejecución, generando exploits de concepto de prueba para confirmar el impacto en el mundo real.

Rendimiento a escala

En los últimos 30 días de pruebas beta, Codex Security escaneó más de 1,2 millones de confirmaciones en repositorios externos, lo que llevó a 792 hallazgos críticos y 10.561 problemas de gravedad alta. Las vulnerabilidades críticas aparecieron en menos del 0,1% de las confirmaciones escaneadas, lo que sugiere que el sistema puede procesar grandes bases de código mientras mantiene el ruido manejable para los revisores.

OpenAI informa que la precisión mejoró sustancialmente durante el período beta. En un caso, el ruido disminuyó un 84% entre la implementación inicial y la versión actual. En todos los repositorios, las tasas de falsos positivos disminuyeron más del 50%, y los hallazgos con gravedad sobreinformada disminuyeron más del 90%. El agente también incorpora comentarios: cuando los usuarios ajustan la criticidad de un hallazgo, refina el modelo de amenaza para los escaneos posteriores.

Esos números abordan una queja persistente de los equipos de seguridad que evalúan herramientas de codificación de IA. Un análisis de 2025 de 80 tareas de codificación en más de 100 grandes modelos de lenguaje encontró que el código generado por IA introduce vulnerabilidades de seguridad en el 45% de los casos, lo que hace que las herramientas de detección posteriores sean cada vez más importantes a medida que el código escrito por IA se propaga.

Descubrimientos de vulnerabilidades de código abierto

OpenAI ha estado ejecutando Codex Security en los repositorios de código abierto en los que depende, informando hallazgos de alto impacto a los mantenedores. La lista divulgada incluye OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP y Chromium. De las 14 CVE asignadas, dos involucraron informes duales con otros investigadores.

En conversaciones con los mantenedores, OpenAI dijo que el desafío principal no fue la falta de informes de vulnerabilidades, sino el exceso de informes de baja calidad. Los mantenedores necesitaban menos falsos positivos y menos carga de triaje: comentarios que dieron forma al énfasis de Codex Security en hallazgos de alta confianza sobre el volumen.

La empresa también anunció Codex para OSS, un programa que proporciona cuentas gratuitas de ChatGPT Pro y Plus, soporte de revisión de código y acceso a Codex Security para los mantenedores de código abierto. El proyecto vLLM ya ha utilizado la herramienta para encontrar y parchear problemas dentro de su flujo de trabajo normal. OpenAI planea ampliar el programa en las próximas semanas.

El lanzamiento posiciona a OpenAI como un participante directo en la seguridad de aplicaciones, un mercado donde los incumbentes como Snyk, Semgrep y Veracode han establecido posiciones. Google (GOOGL ) publicó recientemente una arquitectura de seguridad detallada para sus propias características de agente de IA en Chrome, lo que indica que la intersección de los agentes de IA y las herramientas de seguridad está atrayendo la atención desde múltiples direcciones.

Quedan varias preguntas sin respuesta. OpenAI no ha divulgado los precios después del período de prueba gratuito, ni ha especificado qué modelo de frontera impulsa el razonamiento de Codex Security. La herramienta actualmente opera a través de Codex web en lugar de ofrecer integración a nivel de API, lo que podría limitar la adopción por parte de los equipos con pipelines de automatización de seguridad existentes. Si Codex Security puede mantener sus mejoras de precisión a medida que se amplía más allá de la beta, y si los mantenedores de código abierto adoptan el programa a una escala significativa, determinará si el agente se convierte en un elemento duradero en la pila de desarrollo asistida por IA o permanece como una vista previa de investigación.