OpenAI lanserar Codex Security för att hitta sårbarheter i kod

OpenAI lanserade Codex Security den 6 mars. Det är en AI-driven agent för applikationssäkerhet som söker efter sårbarheter i kodbaser, verifierar fynd i isolerade testmiljöer och föreslår rättningar. Verktyget har redan upptäckt brister i OpenSSH, Chromium och fem andra projekt med öppen källkod som används i stor utsträckning. Fynden har lett till 14 CVE-beteckningar (Common Vulnerabilities and Exposures).

Codex Security hette tidigare Aardvark och tillbringade ungefär ett år i sluten beta innan det blev tillgängligt som en förhandsversion för forskning för kunder med ChatGPT Pro, Enterprise, Business och Edu. OpenAI erbjuder kostnadsfri tillgång under den första månaden.

Agenten skiljer sig från traditionella verktyg för statisk analys genom att bygga en projektspecifik hotmodell före skanningen. Den analyserar kodarkivets arkitektur för att förstå vad systemet gör, vad det litar på och var exponeringen är störst. Teamen kan redigera hotmodellen så att fynden stämmer överens med deras riskhållning. När en anpassad miljö har konfigurerats testar Codex Security potentiella sårbarheter direkt mot det körande systemet och skapar exploateringskod som demonstrerar sårbarheterna för att bekräfta den faktiska påverkan.

Prestanda i stor skala

Under de senaste 30 dagarna av betatestningen skannade Codex Security mer än 1,2 miljoner kodincheckningar i externa kodarkiv. Verktyget hittade 792 kritiska fynd och 10 561 problem med hög allvarlighetsgrad. Kritiska sårbarheter förekom i färre än 0,1 procent av de skannade incheckningarna. Det tyder på att systemet kan bearbeta stora kodbaser samtidigt som bruset hålls på en hanterbar nivå för granskarna.

OpenAI uppger att precisionen förbättrades avsevärt under betaperioden. I ett fall minskade bruset med 84 procent mellan den första utrullningen och den nuvarande versionen. Sett till samtliga kodarkiv sjönk andelen falska positiva med mer än 50 procent, och fynd där allvarlighetsgraden hade överskattats minskade med över 90 procent. Agenten tar också hänsyn till återkoppling: när användare ändrar hur kritiskt ett fynd bedöms vara, förfinas hotmodellen inför kommande skanningar.

Siffrorna bemöter ett återkommande klagomål från säkerhetsteam som utvärderar AI-verktyg för programmering. En analys från 2025 av 80 programmeringsuppgifter med mer än 100 stora språkmodeller visade att AI-genererad kod inför säkerhetssårbarheter i 45 procent av fallen, vilket gör verktyg som upptäcker sårbarheter senare i utvecklingsprocessen allt viktigare när AI-skriven kod blir vanligare.

Upptäckta sårbarheter i öppen källkod

OpenAI har kört Codex Security mot de kodarkiv med öppen källkod som företaget är beroende av och rapporterat fynd med stor påverkan till projektens underhållare. Den offentliggjorda listan omfattar OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP och Chromium. Två av de 14 tilldelade CVE-beteckningarna gällde sårbarheter som även andra forskare hade rapporterat.

Enligt OpenAI visade samtal med underhållare att huvudproblemet inte var brist på sårbarhetsrapporter utan ett överskott av rapporter av låg kvalitet. Underhållarna behövde färre falska positiva och mindre arbete med att sortera och prioritera fynd. Den återkopplingen bidrog till att Codex Security prioriterar tillförlitliga fynd framför mängden rapporter.

Företaget presenterade också Codex for OSS, ett program som erbjuder kostnadsfria ChatGPT Pro- och Plus-konton, stöd för kodgranskning och tillgång till Codex Security för underhållare av öppen källkod. Projektet vLLM har redan använt verktyget för att hitta och rätta problem i sitt vanliga arbetsflöde. OpenAI planerar att utöka programmet under de kommande veckorna.

Lanseringen gör OpenAI till en direkt aktör på marknaden för applikationssäkerhet, där företag som Snyk, Semgrep och Veracode redan har etablerat sig. Google (GOOGL ) publicerade nyligen en detaljerad säkerhetsarkitektur för sina egna AI-agentfunktioner i Chrome. Det visar att mötet mellan AI-agenter och säkerhetsverktyg drar till sig uppmärksamhet från flera håll.

Flera frågor återstår. OpenAI har inte offentliggjort priserna efter den kostnadsfria provperioden eller angett vilken av de mest avancerade modellerna som driver Codex Securitys resonemang. Verktyget används för närvarande via webbversionen av Codex och erbjuder ingen integration på API-nivå. Det kan begränsa införandet i team som redan har automatiserade säkerhetsflöden. Huruvida Codex Security kan behålla precisionsförbättringarna när användningen växer bortom betan, och om underhållare av öppen källkod tar programmet i bruk i betydande omfattning, avgör om agenten blir en bestående del av verktygskedjan för AI-stödd utveckling eller stannar vid en forskningsförhandsversion.