OpenAI Meluncurkan Codex Security untuk Menemukan Kerentanan dalam Kode

OpenAI merilis Codex Security pada 6 Maret, agen keamanan aplikasi berbasis AI yang memindai basis kode untuk mencari kerentanan, memvalidasi temuan di lingkungan terisolasi, dan mengusulkan patch perbaikan. Alat ini telah menemukan celah di OpenSSH, Chromium, dan lima proyek sumber terbuka lain yang banyak digunakan. Temuan tersebut telah memperoleh 14 pengenal CVE (Common Vulnerabilities and Exposures).

Codex Security sebelumnya dikenal sebagai Aardvark dan menjalani pengujian beta tertutup selama sekitar satu tahun sebelum hadir sebagai pratinjau riset bagi pelanggan ChatGPT Pro, Enterprise, Business, dan Edu. OpenAI menawarkan akses gratis selama bulan pertama.

Agen ini berbeda dari alat analisis statis konvensional karena menyusun model ancaman khusus proyek sebelum melakukan pemindaian. Agen menganalisis arsitektur repositori untuk memahami fungsi sistem, apa yang dipercayainya, dan bagian yang paling terekspos. Tim dapat mengubah model ancaman agar temuan selaras dengan pendekatan mereka terhadap risiko. Jika dikonfigurasi dengan lingkungan yang disesuaikan, Codex Security menguji potensi kerentanan secara langsung pada sistem yang berjalan, serta membuat eksploitasi pembuktian konsep untuk memastikan dampak nyata.

Kinerja dalam Skala Besar

Selama 30 hari terakhir pengujian beta, Codex Security memindai lebih dari 1,2 juta commit di repositori eksternal dan menemukan 792 temuan kritis serta 10.561 masalah dengan tingkat keparahan tinggi. Kerentanan kritis muncul pada kurang dari 0,1% commit yang dipindai. Ini mengindikasikan bahwa sistem mampu memproses basis kode besar sambil mempertahankan jumlah temuan pengganggu pada tingkat yang dapat ditangani peninjau.

OpenAI melaporkan bahwa presisi meningkat pesat selama periode beta. Dalam satu kasus, temuan pengganggu berkurang 84% antara penerapan awal dan versi saat ini. Di seluruh repositori, tingkat positif palsu turun lebih dari 50%, sedangkan temuan yang tingkat keparahannya dinilai terlalu tinggi berkurang lebih dari 90%. Agen juga memanfaatkan umpan balik: ketika pengguna mengubah tingkat kekritisan suatu temuan, agen menyempurnakan model ancaman untuk pemindaian berikutnya.

Angka-angka tersebut menjawab keluhan berulang dari tim keamanan yang mengevaluasi alat pemrograman AI. Analisis pada 2025 atas 80 tugas pemrograman dengan lebih dari 100 model bahasa besar menemukan bahwa kode buatan AI menimbulkan kerentanan keamanan dalam 45% kasus, sehingga alat pendeteksi yang digunakan setelah tahap pembuatan kode menjadi semakin penting seiring meluasnya kode yang ditulis AI.

Penemuan Kerentanan pada Proyek Sumber Terbuka

OpenAI telah menjalankan Codex Security pada repositori sumber terbuka yang menjadi tumpuannya dan melaporkan temuan berdampak tinggi kepada pengelola proyek. Daftar yang dipublikasikan mencakup OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP, dan Chromium. Dua dari 14 kerentanan yang diberi pengenal CVE juga dilaporkan oleh peneliti lain.

Menurut OpenAI, percakapan dengan pengelola menunjukkan bahwa tantangan utama bukanlah kekurangan laporan kerentanan, melainkan terlalu banyak laporan berkualitas rendah. Pengelola membutuhkan lebih sedikit positif palsu serta beban penyaringan dan penentuan prioritas yang lebih ringan. Masukan ini membentuk fokus Codex Security pada temuan dengan tingkat keyakinan tinggi, alih-alih jumlah temuan.

Perusahaan juga mengumumkan Codex for OSS, program yang menyediakan akun ChatGPT Pro dan Plus gratis, dukungan peninjauan kode, serta akses Codex Security bagi pengelola proyek sumber terbuka. Proyek vLLM telah memakai alat ini untuk menemukan dan memperbaiki masalah dalam alur kerja rutinnya. OpenAI berencana memperluas program tersebut dalam beberapa minggu mendatang.

Peluncuran ini menempatkan OpenAI sebagai pelaku langsung di pasar keamanan aplikasi, tempat perusahaan seperti Snyk, Semgrep, dan Veracode telah memiliki posisi mapan. Google (GOOGL ) baru-baru ini menerbitkan arsitektur keamanan terperinci untuk fitur agen AI-nya di Chrome. Ini menunjukkan bahwa pertemuan antara agen AI dan alat keamanan menarik perhatian dari berbagai pihak.

Sejumlah pertanyaan masih belum terjawab. OpenAI belum mengungkapkan harga setelah uji coba gratis atau menjelaskan model terdepan mana yang mendukung penalaran Codex Security. Alat ini kini bekerja melalui versi web Codex dan tidak menyediakan integrasi tingkat API. Hal tersebut berpotensi membatasi adopsi oleh tim yang telah memiliki alur kerja otomatis untuk keamanan. Kemampuan Codex Security mempertahankan peningkatan presisi ketika penggunaannya meluas melampaui beta, serta apakah pengelola proyek sumber terbuka mengadopsi program ini dalam skala berarti, akan menentukan apakah agen tersebut menjadi bagian tetap dari rangkaian alat pengembangan berbantuan AI atau tetap sebagai pratinjau riset.