OpenAI lança Codex Security para encontrar vulnerabilidades no código

A OpenAI lançou o Codex Security em 6 de março. Trata-se de um agente de segurança de aplicações baseado em IA que procura vulnerabilidades nas bases de código, valida os achados em ambientes isolados e propõe correções. A ferramenta já identificou falhas no OpenSSH, Chromium e em outros cinco projetos de código aberto amplamente utilizados. As descobertas receberam 14 identificadores CVE (Common Vulnerabilities and Exposures).

O Codex Security, anteriormente conhecido como Aardvark, passou cerca de um ano em testes beta privados antes de chegar a uma versão preliminar de pesquisa disponível para clientes ChatGPT Pro, Enterprise, Business e Edu. A OpenAI oferece acesso gratuito no primeiro mês.

O agente se diferencia das ferramentas convencionais de análise estática por criar um modelo de ameaças específico para o projeto antes da varredura. Ele analisa a arquitetura do repositório para entender o que o sistema faz, em que confia e onde a exposição é maior. As equipes podem editar o modelo de ameaças para manter os achados alinhados à sua abordagem de risco. Quando um ambiente personalizado é configurado, o Codex Security testa possíveis vulnerabilidades diretamente no sistema em execução e gera código de exploração como prova de conceito para confirmar o impacto real.

Desempenho em grande escala

Nos últimos 30 dias de testes beta, o Codex Security analisou mais de 1,2 milhão de commits em repositórios externos, identificando 792 achados críticos e 10.561 problemas de alta gravidade. Vulnerabilidades críticas apareceram em menos de 0,1% dos commits analisados. Isso sugere que o sistema consegue processar grandes bases de código e manter o ruído em um nível administrável para os revisores.

A OpenAI informa que a precisão melhorou substancialmente durante o período beta. Em um caso, o ruído caiu 84% entre a implantação inicial e a versão atual. Considerando todos os repositórios, a taxa de falsos positivos diminuiu mais de 50%, e os achados cuja gravidade havia sido superestimada caíram mais de 90%. O agente também utiliza feedback: quando os usuários ajustam a criticidade de um achado, ele refina o modelo de ameaças para as próximas varreduras.

Esses números respondem a uma queixa recorrente das equipes de segurança que avaliam ferramentas de programação com IA. Uma análise de 2025 que examinou 80 tarefas de programação com mais de 100 grandes modelos de linguagem constatou que o código gerado por IA introduz vulnerabilidades de segurança em 45% dos casos, tornando as ferramentas de detecção usadas nas etapas posteriores à geração do código cada vez mais importantes à medida que o código escrito por IA se dissemina.

Vulnerabilidades descobertas em projetos de código aberto

A OpenAI vem executando o Codex Security nos repositórios de código aberto dos quais depende e comunicando os achados de alto impacto aos mantenedores. A lista divulgada inclui OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP e Chromium. Duas das 14 vulnerabilidades que receberam identificadores CVE também foram relatadas por outros pesquisadores.

Segundo a OpenAI, as conversas com os mantenedores mostraram que o principal desafio não era a falta de relatos de vulnerabilidades, mas o excesso de relatos de baixa qualidade. Eles precisavam de menos falsos positivos e de uma carga menor de trabalho para avaliar e priorizar os achados. Esse feedback ajudou a orientar o Codex Security para resultados com alto grau de confiança, em vez de volume.

A empresa também anunciou o Codex for OSS, programa que oferece aos mantenedores de projetos de código aberto contas ChatGPT Pro e Plus gratuitas, suporte à revisão de código e acesso ao Codex Security. O projeto vLLM já utilizou a ferramenta para encontrar e corrigir problemas em seu fluxo normal de trabalho. A OpenAI planeja expandir o programa nas próximas semanas.

O lançamento coloca a OpenAI como participante direta no mercado de segurança de aplicações, no qual empresas como Snyk, Semgrep e Veracode já têm posições estabelecidas. O Google (GOOGL ) publicou recentemente uma arquitetura de segurança detalhada para seus próprios recursos de agentes de IA no Chrome. Isso indica que o encontro entre agentes de IA e ferramentas de segurança está atraindo atenção de várias direções.

Várias perguntas continuam sem resposta. A OpenAI não divulgou os preços após o período gratuito de testes, nem informou qual dos modelos mais avançados sustenta o raciocínio do Codex Security. A ferramenta funciona atualmente pela versão web do Codex e não oferece integração no nível da API. Isso pode limitar sua adoção por equipes que já contam com pipelines de automação de segurança. A capacidade do Codex Security de manter as melhorias de precisão ao se expandir para além do beta, e a adoção do programa em escala significativa pelos mantenedores de código aberto, determinarão se o agente se tornará um componente duradouro do conjunto de ferramentas de desenvolvimento assistido por IA ou continuará sendo uma versão preliminar de pesquisa.