OpenAI ra mắt Codex Security để tìm lỗ hổng trong mã

OpenAI phát hành Codex Security vào ngày 6 tháng 3. Đây là tác nhân bảo mật ứng dụng dựa trên AI, có khả năng quét cơ sở mã để tìm lỗ hổng, xác minh kết quả trong môi trường cách ly và đề xuất bản vá. Công cụ đã phát hiện sai sót trong OpenSSH, Chromium cùng năm dự án mã nguồn mở được sử dụng rộng rãi khác. Các phát hiện đã được cấp 14 mã định danh CVE (Common Vulnerabilities and Exposures).

Codex Security trước đây có tên là Aardvark và trải qua khoảng một năm thử nghiệm beta kín trước khi được cung cấp dưới dạng bản xem trước nghiên cứu cho khách hàng ChatGPT Pro, Enterprise, Business và Edu. OpenAI cho phép truy cập miễn phí trong tháng đầu tiên.

Tác nhân này khác các công cụ phân tích tĩnh thông thường ở chỗ xây dựng mô hình mối đe dọa riêng cho từng dự án trước khi quét. Nó phân tích kiến trúc kho mã để hiểu hệ thống làm gì, tin cậy những gì và phần nào có mức độ phơi nhiễm cao nhất. Các nhóm có thể chỉnh sửa mô hình mối đe dọa để kết quả phù hợp với cách tiếp cận rủi ro của mình. Khi được cấu hình với môi trường tùy chỉnh, Codex Security thử nghiệm trực tiếp các lỗ hổng tiềm tàng trên hệ thống đang chạy và tạo mã khai thác minh chứng để xác nhận tác động thực tế.

Hiệu suất ở quy mô lớn

Trong 30 ngày thử nghiệm beta gần nhất, Codex Security quét hơn 1,2 triệu commit trong các kho mã bên ngoài, phát hiện 792 kết quả ở mức tối nghiêm trọng và 10.561 vấn đề có mức độ nghiêm trọng cao. Lỗ hổng tối nghiêm trọng xuất hiện trong chưa đến 0,1% số commit được quét. Điều này gợi ý rằng hệ thống có thể xử lý cơ sở mã lớn trong khi vẫn giữ lượng kết quả gây nhiễu ở mức người đánh giá có thể xử lý được.

OpenAI cho biết độ chính xác đã cải thiện đáng kể trong giai đoạn beta. Trong một trường hợp, lượng nhiễu giảm 84% giữa lần triển khai đầu tiên và phiên bản hiện tại. Xét trên toàn bộ kho mã, tỷ lệ dương tính giả giảm hơn 50%, còn các kết quả bị đánh giá quá cao về mức độ nghiêm trọng giảm hơn 90%. Tác nhân cũng tiếp nhận phản hồi: khi người dùng điều chỉnh mức độ nguy cấp của một kết quả, nó tinh chỉnh mô hình mối đe dọa cho các lần quét tiếp theo.

Những con số này đáp lại phàn nàn kéo dài của các nhóm bảo mật khi đánh giá công cụ lập trình AI. Một phân tích năm 2025 về 80 nhiệm vụ lập trình với hơn 100 mô hình ngôn ngữ lớn cho thấy mã do AI tạo ra đưa lỗ hổng bảo mật vào 45% số trường hợp, khiến các công cụ phát hiện ở giai đoạn sau khi tạo mã ngày càng quan trọng khi mã do AI viết trở nên phổ biến.

Lỗ hổng được phát hiện trong các dự án mã nguồn mở

OpenAI đã chạy Codex Security trên những kho mã nguồn mở mà công ty phụ thuộc vào và báo cáo các phát hiện có tác động lớn cho người bảo trì. Danh sách công bố gồm OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP và Chromium. Hai trong số 14 lỗ hổng được cấp mã CVE cũng được các nhà nghiên cứu khác báo cáo.

Theo OpenAI, qua trao đổi với người bảo trì, thách thức chính không phải thiếu báo cáo lỗ hổng mà là có quá nhiều báo cáo chất lượng thấp. Người bảo trì cần ít kết quả dương tính giả hơn và giảm gánh nặng phân loại, xác định mức ưu tiên. Những phản hồi này định hình cách Codex Security chú trọng các phát hiện có độ tin cậy cao thay vì số lượng.

Công ty cũng công bố Codex for OSS, chương trình cung cấp tài khoản ChatGPT Pro và Plus miễn phí, hỗ trợ đánh giá mã và quyền truy cập Codex Security cho người bảo trì dự án mã nguồn mở. Dự án vLLM đã dùng công cụ để tìm và vá lỗi trong quy trình làm việc thông thường. OpenAI dự định mở rộng chương trình trong những tuần tới.

Việc ra mắt đưa OpenAI trở thành bên tham gia trực tiếp vào thị trường bảo mật ứng dụng, nơi Snyk, Semgrep và Veracode đã có chỗ đứng vững chắc. Google (GOOGL ) gần đây công bố một kiến trúc bảo mật chi tiết cho các tính năng tác nhân AI của mình trong Chrome, cho thấy sự kết hợp giữa tác nhân AI và công cụ bảo mật đang thu hút chú ý từ nhiều phía.

Một số câu hỏi vẫn chưa có lời giải. OpenAI chưa tiết lộ giá sau thời gian dùng thử miễn phí, cũng chưa cho biết mô hình tiên tiến hàng đầu nào đảm nhiệm khả năng suy luận của Codex Security. Công cụ hiện hoạt động qua phiên bản web của Codex, không cung cấp tích hợp ở cấp API. Điều này có thể hạn chế việc áp dụng ở các nhóm đã có quy trình bảo mật tự động. Liệu Codex Security có giữ được mức cải thiện độ chính xác khi mở rộng ra ngoài beta hay không, và liệu người bảo trì dự án mã nguồn mở có áp dụng chương trình trên quy mô đáng kể hay không, sẽ quyết định tác nhân có trở thành thành phần lâu dài trong bộ công cụ phát triển có AI hỗ trợ hay vẫn chỉ là bản xem trước nghiên cứu.