OpenAI julkaisi Codex Securityn etsimään haavoittuvuuksia koodista

OpenAI julkaisi 6. maaliskuuta Codex Securityn, tekoälypohjaisen sovellustietoturva-agentin, joka etsii koodipohjista haavoittuvuuksia, varmentaa löydökset eristetyissä testiympäristöissä ja ehdottaa korjauksia. Työkalu on jo löytänyt puutteita OpenSSH:sta, Chromiumista ja viidestä muusta laajalti käytetystä avoimen lähdekoodin projektista. Löydöksille on myönnetty 14 CVE-tunnistetta (Common Vulnerabilities and Exposures).

Codex Security tunnettiin aiemmin nimellä Aardvark. Se oli noin vuoden suljetussa beetatestauksessa ennen siirtymistään tutkimuskäyttöön tarkoitettuun esiversioon, joka on ChatGPT Pro-, Enterprise-, Business- ja Edu-asiakkaiden saatavilla. OpenAI tarjoaa ensimmäisen kuukauden käytön maksutta.

Agentti eroaa perinteisistä staattisen analyysin työkaluista laatimalla projektikohtaisen uhkamallin ennen tarkistusta. Se analysoi koodivaraston arkkitehtuuria selvittääkseen, mitä järjestelmä tekee, mihin se luottaa ja missä se on eniten alttiina uhille. Tiimit voivat muokata uhkamallia niin, että löydökset vastaavat niiden riskilinjausta. Kun Codex Securitylle on määritetty räätälöity testiympäristö, se koettelee mahdollisia haavoittuvuuksia suoraan käynnissä olevassa järjestelmässä ja tuottaa toimivuuden osoittavia hyödyntämiskokeita varmistaakseen todelliset vaikutukset.

Suorituskyky laajassa käytössä

Beetatestauksen viimeisten 30 päivän aikana Codex Security tarkisti yli 1,2 miljoonaa muutostallennusta ulkoisissa koodivarastoissa ja löysi 792 kriittistä sekä 10 561 vakavaa ongelmaa. Kriittisiä haavoittuvuuksia esiintyi alle 0,1 prosentissa tarkistetuista muutostallennuksista. Tämä viittaa siihen, että järjestelmä pystyy käsittelemään suuria koodipohjia niin, että arvioijille tulevien turhien havaintojen määrä pysyy hallittavana.

OpenAI kertoo tarkkuuden parantuneen huomattavasti beetatestauksen aikana. Yhdessä tapauksessa turhien havaintojen määrä väheni 84 prosenttia ensimmäisen käyttöönoton ja nykyisen version välillä. Koodivarastoja kokonaisuutena tarkasteltaessa väärien positiivisten osuus laski yli 50 prosenttia, ja löydökset, joiden vakavuutta oli liioiteltu, vähenivät yli 90 prosenttia. Agentti hyödyntää myös palautetta: kun käyttäjä muuttaa löydöksen kriittisyysluokitusta, se tarkentaa uhkamallia seuraavia tarkistuksia varten.

Luvut vastaavat tietoturvatiimien toistuvaan huoleen, kun ne arvioivat tekoälypohjaisia koodaustyökaluja. Vuoden 2025 analyysissa tarkasteltiin 80 koodaustehtävää yli sadalla suurella kielimallilla. Sen mukaan tekoälyn tuottama koodi tuo mukanaan tietoturvahaavoittuvuuksia 45 prosentissa tapauksista, joten koodin tuottamisen jälkeen käytettävät haavoittuvuuksien havaitsemistyökalut ovat yhä tärkeämpiä tekoälykoodin yleistyessä.

Avoimen lähdekoodin haavoittuvuuslöydökset

OpenAI on tarkistanut Codex Securityllä avoimen lähdekoodin koodivarastoja, joista sen toiminta riippuu, ja ilmoittanut merkittäviä löydöksiä ylläpitäjille. Julkistettu luettelo sisältää OpenSSH:n, GnuTLS:n, GOGS:n, Thoriumin, libssh:n, PHP:n ja Chromiumin. Myönnetyistä 14 CVE-tunnisteesta kahteen liittyi myös muiden tutkijoiden tekemä ilmoitus samasta haavoittuvuudesta.

OpenAI kertoi ylläpitäjien kanssa käydyistä keskusteluista, joissa suurimmaksi haasteeksi ei noussut haavoittuvuusilmoitusten puute vaan heikkolaatuisten ilmoitusten runsaus. Ylläpitäjät tarvitsivat vähemmän vääriä positiivisia ja pienemmän arviointi- ja priorisointikuorman. Tämä palaute ohjasi Codex Securityä painottamaan luotettavia löydöksiä niiden määrän sijaan.

Yhtiö julkisti myös Codex for OSS -ohjelman, joka tarjoaa avoimen lähdekoodin ylläpitäjille maksuttomia ChatGPT Pro- ja Plus-tilejä, tukea koodikatselmointiin sekä pääsyn Codex Securityyn. vLLM-projekti on jo käyttänyt työkalua ongelmien löytämiseen ja korjaamiseen osana tavanomaista työnkulkuaan. OpenAI aikoo laajentaa ohjelmaa tulevina viikkoina.

Julkaisu tuo OpenAI:n suoraan sovellustietoturvamarkkinoille, joilla Snykin, Semgrepin ja Veracoden kaltaiset toimijat ovat jo vakiinnuttaneet asemansa. Google (GOOGL ) julkaisi äskettäin yksityiskohtaisen tietoturva-arkkitehtuurin omia Chromen tekoälyagenttitoimintojaan varten. Tämä osoittaa, että tekoälyagenttien ja tietoturvatyökalujen yhdistyminen herättää kiinnostusta useilla tahoilla.

Useat kysymykset ovat yhä avoimia. OpenAI ei ole kertonut ilmaisen kokeilujakson jälkeistä hinnoittelua eikä sitä, mikä alan kehittyneimpiin kuuluva malli vastaa Codex Securityn päättelystä. Työkalu toimii tällä hetkellä Codexin verkkoversiossa eikä tarjoa API-tason integraatiota. Tämä voi rajoittaa käyttöönottoa tiimeissä, joilla on jo käytössä tietoturvan automatisoituja käsittelyketjuja. Se, säilyvätkö Codex Securityn tarkkuusparannukset beetavaihetta laajemmassa käytössä ja ottavatko avoimen lähdekoodin ylläpitäjät ohjelman käyttöön merkittävässä laajuudessa, ratkaisee, tuleeko agentista pysyvä osa tekoälyavusteisen kehityksen työkalukokonaisuutta vai jääkö se tutkimusesiversioksi.