OpenAI เปิดตัว Codex Security เพื่อค้นหาช่องโหว่ในโค้ด

OpenAI เปิดตัว Codex Security เมื่อวันที่ 6 มีนาคม โดยเป็นเอเจนต์ด้านความปลอดภัยของแอปพลิเคชันที่ขับเคลื่อนด้วย AI ทำหน้าที่สแกนฐานโค้ดเพื่อค้นหาช่องโหว่ ตรวจสอบยืนยันสิ่งที่พบในสภาพแวดล้อมแซนด์บ็อกซ์ และเสนอแพตช์แก้ไข เครื่องมือนี้พบข้อบกพร่องใน OpenSSH, Chromium และโครงการโอเพนซอร์สที่มีผู้ใช้อย่างแพร่หลายอีกห้าโครงการแล้ว โดยข้อบกพร่องที่พบได้รับหมายเลข CVE (Common Vulnerabilities and Exposures) รวม 14 รายการ

Codex Security เดิมใช้ชื่อว่า Aardvark และผ่านการทดสอบเบต้าแบบปิดมาประมาณหนึ่งปี ก่อนจะเปิดเป็นรุ่นพรีวิวเพื่อการวิจัยสำหรับลูกค้า ChatGPT Pro, Enterprise, Business และ Edu โดย OpenAI ให้ใช้งานฟรีในเดือนแรก

เอเจนต์นี้แตกต่างจากเครื่องมือวิเคราะห์โค้ดแบบสแตติกทั่วไปตรงที่สร้างแบบจำลองภัยคุกคามเฉพาะโครงการก่อนเริ่มสแกน โดยวิเคราะห์สถาปัตยกรรมของคลังโค้ดเพื่อทำความเข้าใจว่าระบบทำอะไร เชื่อถือสิ่งใด และจุดใดเปิดรับความเสี่ยงมากที่สุด ทีมงานสามารถแก้ไขแบบจำลองภัยคุกคามให้ผลการตรวจสอดคล้องกับแนวทางการจัดการความเสี่ยงของตนได้ เมื่อตั้งค่าสภาพแวดล้อมที่ปรับให้เหมาะสมแล้ว Codex Security จะทดสอบช่องโหว่ที่อาจมีอยู่กับระบบที่กำลังทำงานโดยตรง พร้อมสร้างโค้ดสาธิตการใช้ประโยชน์จากช่องโหว่เพื่อยืนยันผลกระทบที่เกิดขึ้นจริง

ประสิทธิภาพเมื่อทำงานในวงกว้าง

ในช่วง 30 วันล่าสุดของการทดสอบเบต้า Codex Security สแกนคอมมิตมากกว่า 1.2 ล้านรายการในคลังโค้ดภายนอก พบผลการตรวจระดับวิกฤต 792 รายการ และปัญหาระดับความรุนแรงสูง 10,561 รายการ ช่องโหว่ระดับวิกฤตปรากฏในคอมมิตที่สแกนน้อยกว่า 0.1% ซึ่งบ่งชี้ว่าระบบสามารถประมวลผลฐานโค้ดขนาดใหญ่ โดยยังรักษาปริมาณผลการตรวจที่รบกวนการทำงานให้อยู่ในระดับที่ผู้ตรวจสอบจัดการได้

OpenAI ระบุว่าความแม่นยำดีขึ้นอย่างมากในช่วงเบต้า ในกรณีหนึ่ง ผลการตรวจที่รบกวนการทำงานลดลง 84% เมื่อเทียบระหว่างการใช้งานครั้งแรกกับเวอร์ชันปัจจุบัน เมื่อพิจารณาคลังโค้ดทั้งหมด อัตราผลบวกลวงลดลงมากกว่า 50% และผลการตรวจที่ประเมินความรุนแรงสูงเกินจริงลดลงมากกว่า 90% เอเจนต์ยังนำข้อเสนอแนะไปใช้ด้วย เมื่อผู้ใช้ปรับระดับความวิกฤตของผลการตรวจ ระบบจะปรับปรุงแบบจำลองภัยคุกคามสำหรับการสแกนครั้งต่อไป

ตัวเลขเหล่านี้ตอบโจทย์ข้อร้องเรียนที่ทีมความปลอดภัยพบอยู่เสมอเมื่อประเมิน เครื่องมือเขียนโค้ดด้วย AI การวิเคราะห์ในปี 2025 ซึ่งศึกษางานเขียนโค้ด 80 งานโดยใช้โมเดลภาษาขนาดใหญ่มากกว่า 100 โมเดล พบว่า โค้ดที่ AI สร้างขึ้นก่อให้เกิดช่องโหว่ด้านความปลอดภัยใน 45% ของกรณี จึงทำให้เครื่องมือตรวจจับในขั้นตอนหลังการสร้างโค้ดมีความสำคัญมากขึ้น เมื่อโค้ดที่เขียนด้วย AI แพร่หลายขึ้น

ช่องโหว่ที่พบในโครงการโอเพนซอร์ส

OpenAI ใช้ Codex Security ตรวจคลังโค้ดโอเพนซอร์สที่บริษัทพึ่งพา และรายงานผลการตรวจที่มีผลกระทบสูงให้ผู้ดูแลโครงการทราบ รายชื่อที่เปิดเผยประกอบด้วย OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP และ Chromium ในบรรดาช่องโหว่ 14 รายการที่ได้รับหมายเลข CVE มีสองรายการที่นักวิจัยรายอื่นรายงานด้วย

OpenAI ระบุว่าการพูดคุยกับผู้ดูแลโครงการพบว่า ความท้าทายหลักไม่ใช่การขาดรายงานช่องโหว่ แต่เป็นรายงานคุณภาพต่ำที่มีมากเกินไป ผู้ดูแลต้องการผลบวกลวงที่น้อยลงและภาระในการคัดแยกและจัดลำดับความสำคัญที่ลดลง ข้อเสนอแนะนี้ทำให้ Codex Security เน้นผลการตรวจที่เชื่อถือได้มากกว่าปริมาณ

บริษัทยังประกาศโครงการ Codex for OSS ซึ่งมอบบัญชี ChatGPT Pro และ Plus ฟรี การสนับสนุนการตรวจทานโค้ด และสิทธิ์ใช้งาน Codex Security ให้ผู้ดูแลโครงการโอเพนซอร์ส โครงการ vLLM ใช้เครื่องมือนี้ค้นหาและแก้ไขปัญหาภายในกระบวนการทำงานตามปกติแล้ว OpenAI มีแผนขยายโครงการในช่วงหลายสัปดาห์ข้างหน้า

การเปิดตัวนี้ทำให้ OpenAI เข้าร่วมตลาดความปลอดภัยของแอปพลิเคชันโดยตรง ซึ่งเป็นตลาดที่บริษัทอย่าง Snyk, Semgrep และ Veracode มีฐานที่มั่นคงอยู่แล้ว Google (GOOGL ) เพิ่งเผยแพร่ สถาปัตยกรรมความปลอดภัยโดยละเอียด สำหรับฟีเจอร์เอเจนต์ AI ของตนใน Chrome สะท้อนว่าจุดบรรจบระหว่างเอเจนต์ AI กับเครื่องมือความปลอดภัยกำลังดึงดูดความสนใจจากหลายฝ่าย

ยังมีคำถามอีกหลายข้อที่ไม่ได้รับคำตอบ OpenAI ยังไม่เปิดเผยราคาหลังหมดช่วงทดลองใช้ฟรี และยังไม่ระบุว่าใช้โมเดลระดับแนวหน้าตัวใดขับเคลื่อนการให้เหตุผลของ Codex Security ปัจจุบันเครื่องมือทำงานผ่าน Codex เวอร์ชันเว็บ โดยไม่ได้เสนอการเชื่อมต่อในระดับ API ซึ่งอาจจำกัดการนำไปใช้ของทีมที่มี กระบวนการทำงานด้านความปลอดภัยแบบอัตโนมัติ อยู่แล้ว ความสามารถของ Codex Security ในการรักษาความแม่นยำที่ปรับปรุงขึ้นเมื่อขยายการใช้งานพ้นระยะเบต้า และการที่ผู้ดูแลโครงการโอเพนซอร์สจะนำโครงการนี้ไปใช้ในวงกว้างอย่างมีนัยสำคัญหรือไม่ จะเป็นตัวตัดสินว่าเอเจนต์จะกลายเป็นส่วนหนึ่งที่ยั่งยืนของชุดเครื่องมือพัฒนาซอฟต์แวร์ที่ใช้ AI ช่วย หรือยังคงเป็นเพียงรุ่นพรีวิวเพื่อการวิจัย