OpenAI เปิดตัว Codex Security เพื่อค้นหาช่องโหว่ในโค้ด

OpenAI ได้เปิดตัว Codex Security เมื่อวันที่ 6 มีนาคม ซึ่งเป็นเอเจนต์ความปลอดภัยของแอปพลิเคชันที่ได้รับการสนับสนุนจาก AI ที่สแกนโค้ดเบสสำหรับช่องโหว่ ตรวจสอบผลลัพธ์ในสภาพแวดล้อมที่ถูกแยกออกมา และเสนอการแก้ไขปัญหา เครื่องมือนี้ได้พบช่องโหว่ใน OpenSSH, Chromium และโครงการโอเพ่นซอร์สที่ใช้กันอย่างแพร่หลายอีก 5 โครงการ โดยได้รับการกำหนดให้มี 14 Common Vulnerabilities and Exposures (CVE)

Codex Security ซึ่งเดิมชื่อ Aardvark ใช้เวลาประมาณหนึ่งปีในการทดสอบเบต้า ก่อนที่จะเข้าสู่การตรวจสอบการวิจัยที่มีให้สำหรับลูกค้า ChatGPT Pro, Enterprise, Business และ Edu OpenAI มีการเสนอการเข้าถึงฟรีสำหรับเดือนแรก

เอเจนต์นี้แตกต่างจากเครื่องมือวิเคราะห์สถานะที่มีการใช้กันโดยทั่วไปโดยการสร้างแบบจำลองภัยคุกคามที่เฉพาะเจาะจงสำหรับโครงการก่อนที่จะสแกน มันจะวิเคราะห์สถาปัตยกรรมของ仓库เพื่อทำความเข้าใจว่าระบบทำอะไร ระบบนั้นเชื่อถืออะไร และจุดที่มีการสัมผัสสูงสุด ทีมสามารถแก้ไขแบบจำลองภัยคุกคามเพื่อให้ผลลัพธ์ตรงกับลักษณะความเสี่ยงของพวกเขา เมื่อได้รับการกำหนดค่าด้วยสภาพแวดล้อมที่ปรับให้เหมาะสม Codex Security จะทดสอบช่องโหว่ที่อาจเกิดขึ้นโดยตรงต่อระบบที่กำลังทำงาน โดยสร้างการแสดงตัวอย่างการโจมตีเพื่อยืนยันผลกระทบในโลกแห่งความเป็นจริง

ประสิทธิภาพในการขยายขนาด

ในช่วง 30 วันที่ผ่านมาของการทดสอบเบต้า Codex Security ได้สแกนมากกว่า 1.2 ล้านคอมมิตข้าม仓库ภายนอก โดยพบช่องโหว่ระดับวิกฤต 792 รายการ และปัญหาเร่งด่วน 10,561 รายการ ช่องโหว่ระดับวิกฤติปรากฏในน้อยกว่า 0.1% ของคอมมิตที่สแกน ซึ่งแสดงว่าระบบสามารถประมวลผลฐานโค้ดขนาดใหญ่ในขณะที่รักษาความเสี่ยงให้เหลือน้อยที่สุดสำหรับผู้ตรวจสอบ

OpenAI รายงานว่าความแม่นยำได้รับการปรับปรุงอย่างมีนัยสำคัญในช่วงการทดสอบเบต้า ในกรณีหนึ่ง ความเสี่ยงลดลง 84% ระหว่างการเปิดตัวครั้งแรกและรุ่นปัจจุบัน ในทุก仓库 อัตราผลลัพธ์เท็จลดลงมากกว่า 50% และผลลัพธ์ที่มีการรายงานความเร่งด่วนลดลงมากกว่า 90% เอเจนต์ยังรวมการให้ข้อเสนอแนะ: เมื่อผู้ใช้ปรับระดับความสำคัญของผลลัพธ์ มันจะปรับปรุงแบบจำลองภัยคุกคามสำหรับการสแกนในอนาคต

ตัวเลขเหล่านี้ตอบสนองข้อร้องเรียนที่คงอยู่ของทีมความปลอดภัยที่ประเมิน เครื่องมือเขียนโค้ด AI การวิเคราะห์ในปี 2025 ของงานเขียนโค้ด 80 งานที่ใช้โมเดลภาษาขนาดใหญ่มากกว่า 100 โมเดลพบว่า โค้ดที่สร้างโดย AI มีการแนะนำช่องโหว่ความปลอดภัยใน 45% ของกรณี ทำให้เครื่องมือตรวจจับช่องโหว่หลังการตรวจสอบมีความสำคัญมากขึ้นเมื่อโค้ดที่เขียนโดย AI เพิ่มขึ้น

การค้นพบช่องโหว่ของโอเพ่นซอร์ส

OpenAI ได้ใช้ Codex Security กับ仓库โอเพ่นซอร์สที่พวกเขาใช้ โดยรายงานการค้นพบที่มีผลกระทบสูงให้กับผู้ดูแลระบบ รายการการเปิดเผยรวมถึง OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP และ Chromium จาก 14 CVE ที่ได้รับการกำหนด มีสองรายการที่มีการรายงานซ้ำพร้อมกับนักวิจัยคนอื่น

ในระหว่างการสนทนากับผู้ดูแลระบบ OpenAI ระบุว่าความท้าทายหลักไม่ใช่การขาดรายงานช่องโหว่ แต่เป็นการมีรายงานที่มีคุณภาพต่ำ ผู้ดูแลระบบต้องการผลลัพธ์ที่มีความมั่นใจสูงและภาระการแยกแยะที่น้อยกว่า — ข้อเสนอแนะที่ช่วยกำหนดรูปแบบการทำงานของ Codex Security ในการให้ผลลัพธ์ที่มีความมั่นใจสูงมากกว่าปริมาณ

บริษัทยังประกาศ Codex for OSS ซึ่งเป็นโปรแกรมที่ให้บัญชี ChatGPT Pro และ Plus ฟรี การสนับสนุนการตรวจสอบโค้ด และการเข้าถึง Codex Security สำหรับผู้ดูแลโอเพ่นซอร์ส โครงการ vLLM ได้ใช้เครื่องมือนี้เพื่อค้นหาและแก้ไขปัญหาในกระบวนการทำงานปกติ OpenAI มีแผนจะขยายโปรแกรมในอีกหลายสัปดาห์ข้างหน้า

การเปิดตัวนี้ทำให้ OpenAI เป็นผู้เข้าร่วมโดยตรงในการรักษาความปลอดภัยของแอปพลิเคชัน ซึ่งเป็นตลาดที่มีผู้นำอย่าง Snyk, Semgrep และ Veracode มีตำแหน่งที่มั่นคง Google (GOOGL ) ได้ตีพิมพ์ สถาปัตยกรรมความปลอดภัยที่มีรายละเอียด สำหรับคุณลักษณะเอเจนต์ AI ของ Chrome ซึ่งบ่งชี้ว่าจุดตัดกันของเอเจนต์ AI และเครื่องมือความปลอดภัยได้รับความสนใจจากหลายทิศทาง

ยังมีหลายคำถามที่ยังไม่มีคำตอบ OpenAI ยังไม่ได้เปิดเผยราคาหลังจากช่วงการลองใช้ฟรี นอกจากนี้ยังไม่ได้ระบุว่าโมเดลแนวหน้าใดที่เป็นพลังงานให้กับการให้เหตุผลของ Codex Security เครื่องมือนี้ทำงานผ่าน Codex web แทนที่จะให้การรวมเข้ากับ API ซึ่งอาจจำกัดการนำไปใช้โดยทีมที่มีการประมวลผลความปลอดภัยที่มีอยู่แล้ว การประมวลผลความปลอดภัยอัตโนมัติ ความสามารถของ Codex Security ในการรักษาความแม่นยำที่ดีขึ้นเมื่อขยายขนาดไปไกลกว่าเบต้า — และผู้ดูแลโอเพ่นซอร์สที่นำโปรแกรมมาใช้ในระดับที่มีความหมาย — จะตัดสินว่าเอเจนต์นี้จะกลายเป็นส่วนสำคัญในกลุ่มพัฒนาที่ได้รับการช่วยเหลือจาก AI หรือยังคงเป็นการแสดงตัวอย่างการวิจัย