OpenAI ने कोड में कमजोरियाँ खोजने के लिए Codex Security लॉन्च किया

OpenAI ने 6 मार्च को Codex Security जारी किया। यह AI पर आधारित एप्लिकेशन सुरक्षा एजेंट है, जो कोडबेस में कमजोरियाँ खोजता है, सैंडबॉक्स परिवेश में निष्कर्षों की पुष्टि करता है और पैच सुझाता है। यह टूल OpenSSH, Chromium और व्यापक रूप से इस्तेमाल होने वाले पाँच अन्य ओपन-सोर्स प्रोजेक्ट में खामियाँ खोज चुका है। इन खोजों को 14 CVE (Common Vulnerabilities and Exposures) पहचान संख्याएँ मिली हैं।

Codex Security को पहले Aardvark के नाम से जाना जाता था। करीब एक साल निजी बीटा परीक्षण के बाद यह शोध पूर्वावलोकन के रूप में ChatGPT Pro, Enterprise, Business और Edu ग्राहकों के लिए उपलब्ध हुआ है। OpenAI पहले महीने इसका मुफ्त उपयोग दे रहा है।

यह एजेंट पारंपरिक स्टैटिक विश्लेषण टूल से अलग है, क्योंकि स्कैन शुरू करने से पहले प्रोजेक्ट के लिए खास खतरा मॉडल बनाता है। यह रिपॉज़िटरी की संरचना का विश्लेषण करके समझता है कि सिस्टम क्या करता है, किन चीज़ों पर भरोसा करता है और कौन-सा हिस्सा खतरों के संपर्क में सबसे अधिक है। टीमें खतरा मॉडल में बदलाव करके निष्कर्षों को जोखिम के प्रति अपने दृष्टिकोण के अनुरूप रख सकती हैं। अनुकूलित परिवेश के साथ कॉन्फ़िगर करने पर Codex Security चल रहे सिस्टम पर संभावित कमजोरियों को सीधे परखता है और उनका वास्तविक असर सुनिश्चित करने के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट बनाता है।

बड़े पैमाने पर प्रदर्शन

बीटा परीक्षण के पिछले 30 दिनों में Codex Security ने बाहरी रिपॉज़िटरी में 12 लाख से अधिक कमिट स्कैन किए। इसमें 792 निष्कर्ष अत्यंत गंभीर श्रेणी के और 10,561 समस्याएँ उच्च गंभीरता वाली मिलीं। अत्यंत गंभीर कमजोरियाँ स्कैन किए गए कमिट के 0.1% से भी कम में दिखीं। इससे संकेत मिलता है कि सिस्टम बड़े कोडबेस को संसाधित कर सकता है और साथ ही गैरज़रूरी निष्कर्षों की मात्रा समीक्षकों के लिए संभालने योग्य रख सकता है।

OpenAI का कहना है कि बीटा अवधि के दौरान सटीकता में काफी सुधार हुआ। एक मामले में शुरुआती रोलआउट से मौजूदा संस्करण तक गैरज़रूरी निष्कर्ष 84% घटे। सभी रिपॉज़िटरी को मिलाकर गलत सकारात्मक परिणामों की दर 50% से अधिक घटी और उन निष्कर्षों की संख्या 90% से अधिक कम हुई जिनकी गंभीरता बढ़ा-चढ़ाकर आँकी गई थी। एजेंट प्रतिक्रिया का भी इस्तेमाल करता है: उपयोगकर्ता किसी निष्कर्ष की गंभीरता बदलते हैं, तो वह अगले स्कैन के लिए खतरा मॉडल को सुधारता है।

ये आँकड़े उन सुरक्षा टीमों की बार-बार उठने वाली शिकायत का जवाब देते हैं, जो AI कोडिंग टूल का मूल्यांकन करती हैं। 2025 के एक विश्लेषण में 100 से अधिक बड़े भाषा मॉडलों के साथ 80 कोडिंग कार्यों की जाँच की गई। इसमें पाया गया कि AI से बना कोड 45% मामलों में सुरक्षा कमजोरियाँ पैदा करता है। इसलिए AI द्वारा लिखे कोड का इस्तेमाल बढ़ने के साथ, कोड बनने के बाद के चरणों में कमजोरियाँ पहचानने वाले टूल और महत्वपूर्ण होते जा रहे हैं।

ओपन-सोर्स प्रोजेक्ट में मिली कमजोरियाँ

OpenAI उन ओपन-सोर्स रिपॉज़िटरी पर Codex Security चला रहा है जिन पर वह निर्भर है, और बड़े असर वाले निष्कर्ष प्रोजेक्ट के रखरखावकर्ताओं को बता रहा है। प्रकाशित सूची में OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP और Chromium शामिल हैं। जिन 14 कमजोरियों को CVE पहचान संख्या दी गई, उनमें से दो की रिपोर्ट अन्य शोधकर्ताओं ने भी की थी।

OpenAI के अनुसार, रखरखावकर्ताओं से बातचीत में मुख्य समस्या कमजोरियों की रिपोर्ट की कमी नहीं, बल्कि कम गुणवत्ता वाली रिपोर्ट की अधिकता निकली। उन्हें कम गलत सकारात्मक परिणाम और निष्कर्षों की छँटाई व प्राथमिकता तय करने का कम बोझ चाहिए था। इसी प्रतिक्रिया ने Codex Security का ध्यान निष्कर्षों की संख्या के बजाय उनकी विश्वसनीयता पर केंद्रित किया।

कंपनी ने Codex for OSS कार्यक्रम भी घोषित किया है। इसमें ओपन-सोर्स रखरखावकर्ताओं को मुफ्त ChatGPT Pro और Plus खाते, कोड समीक्षा में सहायता और Codex Security का उपयोग मिलता है। vLLM प्रोजेक्ट अपने सामान्य कार्यप्रवाह में समस्याएँ खोजने और ठीक करने के लिए यह टूल इस्तेमाल कर चुका है। OpenAI आने वाले हफ्तों में कार्यक्रम का विस्तार करना चाहता है।

इस लॉन्च के साथ OpenAI एप्लिकेशन सुरक्षा बाजार में सीधे उतर रहा है, जहाँ Snyk, Semgrep और Veracode जैसी कंपनियाँ पहले से स्थापित हैं। Google (GOOGL ) ने हाल में Chrome में अपने AI एजेंट फीचर के लिए एक विस्तृत सुरक्षा संरचना प्रकाशित की है। इससे पता चलता है कि AI एजेंट और सुरक्षा टूल का मेल कई दिशाओं से ध्यान खींच रहा है।

कई सवाल अब भी अनुत्तरित हैं। OpenAI ने मुफ्त परीक्षण अवधि के बाद की कीमतें नहीं बताई हैं और न ही यह बताया है कि कौन-सा अग्रणी मॉडल Codex Security की तर्क क्षमता को संचालित करता है। टूल अभी Codex के वेब संस्करण के जरिए काम करता है और API-स्तर का एकीकरण नहीं देता। इससे उन टीमों में इसे अपनाने की संभावना सीमित हो सकती है, जिनके पास पहले से सुरक्षा स्वचालन पाइपलाइन मौजूद हैं। बीटा से आगे विस्तार के दौरान Codex Security सटीकता में हुए सुधार बरकरार रख पाता है या नहीं, और ओपन-सोर्स रखरखावकर्ता कार्यक्रम को पर्याप्त बड़े पैमाने पर अपनाते हैं या नहीं, यही तय करेगा कि एजेंट AI-सहायता प्राप्त विकास के टूल समूह का स्थायी हिस्सा बनेगा या शोध पूर्वावलोकन ही रहेगा।