OpenAI, Koddaki Güvenlik Açıklarını Bulmak İçin Codex Security’yi Kullanıma Sunuyor

OpenAI, 6 Mart’ta Codex Security adlı yapay zekâ destekli uygulama güvenliği ajanını kullanıma sundu. Araç, kod tabanlarını güvenlik açıkları için tarıyor, bulguları yalıtılmış test ortamlarında doğruluyor ve yamalar öneriyor. OpenSSH, Chromium ve yaygın kullanılan beş başka açık kaynak projesinde şimdiden kusurlar buldu. Bu keşiflere 14 CVE (Common Vulnerabilities and Exposures) tanımlayıcısı verildi.

Daha önce Aardvark olarak bilinen Codex Security, yaklaşık bir yıllık kapalı beta testinin ardından ChatGPT Pro, Enterprise, Business ve Edu müşterilerine araştırma önizlemesi olarak açıldı. OpenAI ilk ay ücretsiz erişim sunuyor.

Ajan, tarama öncesinde projeye özgü bir tehdit modeli oluşturmasıyla geleneksel statik analiz araçlarından ayrılıyor. Sistemin ne yaptığını, nelere güvendiğini ve nerede en fazla riske maruz kaldığını anlamak için deponun mimarisini inceliyor. Ekipler, bulguların kendi risk yaklaşımlarıyla uyumlu kalması için tehdit modelini düzenleyebiliyor. Özelleştirilmiş bir ortam yapılandırıldığında Codex Security, olası güvenlik açıklarını çalışan sistem üzerinde doğrudan sınayarak gerçek etkilerini doğrulamak için kavram kanıtı niteliğinde istismar kodları üretiyor.

Büyük Ölçekte Performans

Beta testinin son 30 gününde Codex Security, dış depolardaki 1,2 milyondan fazla commit’i taradı ve 792 kritik bulgu ile yüksek ciddiyet düzeyine sahip 10.561 sorun ortaya çıkardı. Kritik güvenlik açıkları, taranan commit’lerin %0,1’inden azında görüldü. Bu, sistemin büyük kod tabanlarını işlerken gürültüyü inceleyenlerin yönetebileceği düzeyde tutabildiğine işaret ediyor.

OpenAI, beta döneminde isabetliliğin önemli ölçüde arttığını bildiriyor. Bir örnekte ilk kullanıma sunum ile güncel sürüm arasında gürültü %84 azaldı. Tüm depolar genelinde yanlış pozitif oranları %50’den fazla düştü; ciddiyet düzeyi olduğundan yüksek değerlendirilen bulgular da %90’dan fazla azaldı. Ajan geri bildirimleri de kullanıyor: Kullanıcılar bir bulgunun kritiklik düzeyini değiştirdiğinde sonraki taramalar için tehdit modelini iyileştiriyor.

Bu rakamlar, güvenlik ekiplerinin yapay zekâ ile kodlama araçlarını değerlendirirken dile getirdiği süregelen bir şikâyete yanıt veriyor. 2025’te 100’den fazla büyük dil modeliyle yapılan 80 kodlama görevini inceleyen bir analiz, yapay zekânın ürettiği kodun vakaların %45’inde güvenlik açıklarına yol açtığını gösterdi. Yapay zekânın yazdığı kod yaygınlaştıkça, kod üretiminden sonraki aşamalarda kullanılan tespit araçları bu nedenle daha önemli hâle geliyor.

Açık Kaynak Projelerinde Bulunan Güvenlik Açıkları

OpenAI, bağımlı olduğu açık kaynak depolarında Codex Security’yi çalıştırıyor ve etkisi yüksek bulguları projelerin bakım sorumlularına bildiriyor. Açıklanan liste OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP ve Chromium’u içeriyor. CVE tanımlayıcısı atanan 14 açığın ikisi başka araştırmacılar tarafından da raporlandı.

OpenAI’ye göre bakım sorumlularıyla yapılan görüşmeler, asıl sorunun güvenlik açığı raporlarının eksikliği değil, düşük kaliteli raporların fazlalığı olduğunu gösterdi. Bakım sorumluları daha az yanlış pozitif ve değerlendirme ile önceliklendirme işlerinde daha düşük yük istiyordu. Bu geri bildirim, Codex Security’nin bulgu sayısı yerine güvenilirliği yüksek bulgulara odaklanmasını şekillendirdi.

Şirket ayrıca açık kaynak bakım sorumlularına ücretsiz ChatGPT Pro ve Plus hesapları, kod inceleme desteği ve Codex Security erişimi sağlayan Codex for OSS programını duyurdu. vLLM projesi aracı normal iş akışında sorunları bulup düzeltmek için zaten kullandı. OpenAI programı önümüzdeki haftalarda genişletmeyi planlıyor.

Lansman OpenAI’yi, Snyk, Semgrep ve Veracode gibi şirketlerin yerleşik konumlara sahip olduğu uygulama güvenliği pazarına doğrudan sokuyor. Google (GOOGL ) da kısa süre önce Chrome’daki kendi yapay zekâ ajanı özellikleri için ayrıntılı bir güvenlik mimarisi yayımladı. Bu, yapay zekâ ajanları ile güvenlik araçlarının kesişimine farklı yönlerden ilgi gösterildiğine işaret ediyor.

Bazı sorular hâlâ yanıtsız. OpenAI ücretsiz deneme dönemi sonrasındaki fiyatları açıklamadı ve Codex Security’nin akıl yürütmesini en gelişmiş modellerden hangisinin sağladığını belirtmedi. Araç şu anda Codex’in web sürümünden çalışıyor ve API düzeyinde entegrasyon sunmuyor. Bu durum, hâlihazırda güvenlik otomasyonu iş akışları bulunan ekiplerin aracı benimsemesini sınırlayabilir. Codex Security’nin beta dışına ölçeklenirken isabetlilikteki iyileşmeleri koruyup koruyamayacağı ve açık kaynak bakım sorumlularının programı kayda değer ölçekte benimseyip benimsemeyeceği, ajanın yapay zekâ destekli geliştirme araçları arasında kalıcı bir yer edinip edinmeyeceğini veya araştırma önizlemesi olarak kalıp kalmayacağını belirleyecek.