OpenAI lansează Codex Security pentru a găsi vulnerabilități în cod

OpenAI a lansat Codex Security pe 6 martie, un agent de securitate a aplicațiilor bazat pe inteligență artificială, care caută vulnerabilități în bazele de cod, validează constatările în medii izolate și propune remedieri. Instrumentul a descoperit deja probleme în OpenSSH, Chromium și alte cinci proiecte open-source utilizate pe scară largă, iar descoperirile au primit 14 identificatori CVE (Common Vulnerabilities and Exposures).

Codex Security, cunoscut anterior drept Aardvark, a petrecut aproximativ un an în testare beta privată înainte de a deveni disponibil într-o versiune preliminară de cercetare pentru clienții ChatGPT Pro, Enterprise, Business și Edu. OpenAI oferă acces gratuit în prima lună.

Agentul se deosebește de instrumentele convenționale de analiză statică prin crearea unui model de amenințări specific proiectului înainte de scanare. El analizează arhitectura depozitului de cod pentru a înțelege ce face sistemul, în ce are încredere și unde expunerea este cea mai mare. Echipele pot modifica modelul de amenințări pentru a păstra constatările în concordanță cu modul lor de abordare a riscurilor. Dacă este configurat cu un mediu adaptat, Codex Security testează vulnerabilitățile potențiale direct pe sistemul aflat în funcțiune și generează cod demonstrativ de exploatare pentru a confirma impactul real.

Performanță la scară largă

În ultimele 30 de zile de testare beta, Codex Security a scanat peste 1,2 milioane de commit-uri din depozite externe și a identificat 792 de constatări critice și 10.561 de probleme cu gravitate ridicată. Vulnerabilități critice au apărut în mai puțin de 0,1% dintre commit-urile scanate, ceea ce sugerează că sistemul poate procesa baze mari de cod, menținând zgomotul la un nivel gestionabil pentru evaluatori.

OpenAI afirmă că precizia s-a îmbunătățit substanțial în perioada beta. Într-un caz, zgomotul a scăzut cu 84% între implementarea inițială și versiunea actuală. La nivelul tuturor depozitelor, rata rezultatelor fals pozitive s-a redus cu peste 50%, iar constatările a căror gravitate fusese supraestimată au scăzut cu peste 90%. Agentul integrează și feedback: când utilizatorii modifică nivelul de gravitate al unei constatări, el ajustează modelul de amenințări pentru scanările următoare.

Aceste cifre răspund unei nemulțumiri persistente a echipelor de securitate care evaluează instrumentele de programare cu IA. O analiză din 2025, care a evaluat 80 de sarcini de programare cu peste 100 de modele lingvistice mari, a constatat că codul generat de IA introduce vulnerabilități de securitate în 45% dintre cazuri, ceea ce sporește importanța instrumentelor de detectare folosite în etapele ulterioare generării codului, pe măsură ce codul scris de IA se răspândește.

Vulnerabilități descoperite în proiecte open-source

OpenAI a folosit Codex Security pentru a verifica depozitele open-source de care depinde și a raportat constatările cu impact ridicat persoanelor care întrețin proiectele. Lista publicată include OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP și Chromium. Două dintre cele 14 vulnerabilități cu identificatori CVE atribuiți au fost raportate și de alți cercetători.

Potrivit OpenAI, discuțiile cu responsabilii proiectelor au arătat că principala provocare nu era lipsa rapoartelor despre vulnerabilități, ci excesul de rapoarte de slabă calitate. Aceștia aveau nevoie de mai puține rezultate fals pozitive și de un volum mai mic de muncă pentru trierea și prioritizarea constatărilor. Acest feedback a contribuit la orientarea Codex Security spre constatări cu un grad ridicat de încredere, în locul unui număr mare de rezultate.

Compania a anunțat și Codex for OSS, un program care le oferă celor care întrețin proiecte open-source conturi ChatGPT Pro și Plus gratuite, sprijin pentru revizuirea codului și acces la Codex Security. Proiectul vLLM a folosit deja instrumentul pentru a găsi și remedia probleme în fluxul său obișnuit de lucru. OpenAI intenționează să extindă programul în săptămânile următoare.

Lansarea plasează OpenAI printre participanții direcți pe piața securității aplicațiilor, unde companii precum Snyk, Semgrep și Veracode și-au consolidat deja prezența. Google (GOOGL ) a publicat recent o arhitectură de securitate detaliată pentru propriile funcții de agenți IA din Chrome, semn că întâlnirea dintre agenții IA și instrumentele de securitate atrage atenția din mai multe direcții.

Mai multe întrebări rămân fără răspuns. OpenAI nu a anunțat prețurile după perioada gratuită de testare și nici nu a precizat ce model de ultimă generație susține raționamentul Codex Security. Instrumentul funcționează în prezent prin versiunea web a Codex, fără integrare la nivel de API, ceea ce poate limita adoptarea de către echipele care au deja fluxuri automatizate de securitate. Capacitatea Codex Security de a menține îmbunătățirile de precizie pe măsură ce se extinde dincolo de etapa beta și adoptarea programului pe scară semnificativă de către responsabilii proiectelor open-source vor determina dacă agentul devine o componentă durabilă a ecosistemului de dezvoltare asistată de IA sau rămâne o versiune preliminară de cercetare.