OpenAI Meluncurkan Codex Security untuk Menemukan Kerentanan dalam Kode

OpenAI merilis Codex Security pada 6 Maret, sebuah agen keamanan aplikasi yang dipowered oleh AI yang memindai basis kode untuk kerentanan, memvalidasi temuan dalam lingkungan sandbox, dan mengusulkan patch. Alat ini telah menemukan kesalahan dalam OpenSSH, Chromium, dan lima proyek open-source lain yang banyak digunakan, mendapatkan 14 penunjukan Common Vulnerabilities and Exposures (CVE).

Codex Security, sebelumnya dikenal sebagai Aardvark, menghabiskan sekitar setahun dalam beta pribadi sebelum naik ke pratinjau penelitian yang tersedia untuk pelanggan ChatGPT Pro, Enterprise, Bisnis, dan Edu. OpenAI menawarkan akses komplementer untuk bulan pertama.

Agen ini berbeda dari alat analisis statis konvensional dengan membangun model ancaman khusus proyek sebelum memindai. Ini menganalisis arsitektur repositori untuk memahami apa yang dilakukan sistem, apa yang dipercaya, dan di mana paparan tertinggi. Tim dapat mengedit model ancaman untuk menjaga temuan selaras dengan postur risiko mereka. Ketika dikonfigurasi dengan lingkungan yang disesuaikan, Codex Security melakukan pengujian tekanan kerentanan potensial langsung melawan sistem yang berjalan, menghasilkan eksploitasi konsep bukti untuk mengonfirmasi dampak dunia nyata.

Performa pada Skala

Selama 30 hari terakhir pengujian beta, Codex Security memindai lebih dari 1,2 juta komit di repositori eksternal, menemukan 792 temuan kritis dan 10.561 masalah tingkat keparahan tinggi. Kerentanan kritis muncul dalam kurang dari 0,1% komit yang dipindai, menunjukkan bahwa sistem dapat memproses basis kode besar sambil menjaga kebisingan tetap terkendali untuk pengulas.

OpenAI melaporkan bahwa presisi meningkat secara signifikan selama periode beta. Dalam satu kasus, kebisingan turun 84% antara peluncuran awal dan versi saat ini. Di semua repositori, tingkat positif palsu turun lebih dari 50%, dan temuan dengan keparahan yang dilaporkan berlebihan menurun lebih dari 90%. Agen ini juga mengincorporasi umpan balik: ketika pengguna menyesuaikan kekritisan temuan, itu memperbarui model ancaman untuk pemindaian selanjutnya.

Angka-angka tersebut menjawab keluhan yang berkelanjutan dari tim keamanan yang mengevaluasi alat pengkodean AI. Analisis 2025 dari 80 tugas pengkodean di lebih dari 100 model bahasa besar menemukan bahwa kode yang dihasilkan AI memperkenalkan kerentanan keamanan dalam 45% kasus, membuat alat deteksi hilir menjadi semakin penting karena kode yang ditulis AI semakin meluas.

Penemuan Kerentanan Open-Source

OpenAI telah menjalankan Codex Security melawan repositori open-source yang mereka andalkan, melaporkan temuan dengan dampak tinggi kepada pemelihara. Daftar yang diungkapkan termasuk OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP, dan Chromium. Dari 14 CVE yang ditugaskan, dua melibatkan pelaporan ganda dengan peneliti lain.

Dalam percakapan dengan pemelihara, OpenAI mengatakan bahwa tantangan utama bukanlah kekurangan laporan kerentanan, tetapi kelebihan laporan kerentanan yang berkualitas rendah. Pemelihara membutuhkan lebih sedikit positif palsu dan beban triase yang lebih rendah — umpan balik yang membentuk penekanan Codex Security pada temuan dengan kepercayaan tinggi daripada volume.

Perusahaan ini juga mengumumkan Codex untuk OSS, sebuah program yang menyediakan akun ChatGPT Pro dan Plus gratis, dukungan tinjauan kode, dan akses Codex Security untuk pemelihara open-source. Proyek vLLM telah menggunakan alat ini untuk menemukan dan memperbaiki masalah dalam alur kerja normal. OpenAI berencana untuk memperluas program dalam beberapa minggu mendatang.

Peluncuran ini menempatkan OpenAI sebagai peserta langsung dalam keamanan aplikasi, pasar di mana pemain mapan seperti Snyk, Semgrep, dan Veracode telah membangun posisi. Google (GOOGL ) baru-baru ini menerbitkan arsitektur keamanan rinci untuk fitur agen AI-nya sendiri di Chrome, menandakan bahwa persimpangan antara agen AI dan perangkat keamanan menarik perhatian dari berbagai arah.

Beberapa pertanyaan masih belum terjawab. OpenAI belum mengungkapkan harga setelah periode trial gratis, atau menentukan model frontier mana yang mempower alasan Codex Security. Alat ini saat ini beroperasi melalui Codex web dan bukan menawarkan integrasi tingkat API, yang berpotensi membatasi adopsi oleh tim dengan pipa keamanan otomatisasi yang ada. Apakah Codex Security dapat mempertahankan perbaikan presisi saat skala melampaui beta — dan apakah pemelihara open-source mengadopsi program pada skala yang berarti — akan menentukan apakah agen ini menjadi fitur tetap dalam tumpukan pengembangan yang dibantu AI atau tetap sebagai pratinjau penelitian.