OpenAI发布Codex Security：扫描120万次代码提交发现10,561个高危漏洞
OpenAI于周五正式推出Codex Security，这是一款由人工智能驱动的安全代理工具，旨在发现、验证并修复代码漏洞。
该功能目前以研究预览版的形式向ChatGPT Pro、企业版、商业版和教育版用户开放，通过Codex网页端可使用，首月免费。
OpenAI表示："它能够深度理解项目上下文，识别出其他代理工具遗漏的复杂漏洞，提供高置信度的发现结果和修复建议，显著提升系统安全性，同时避免无关紧要的bug噪音干扰。"
Codex Security是Aardvark的进化版本，OpenAI于2025年10月以私有测试版形式发布了Aardvark，帮助开发者和安全团队大规模检测和修复安全漏洞。
扫描成果显著
在过去30天的测试期间，Codex Security扫描了超过120万次外部仓库代码提交，发现了792个关键漏洞和10,561个高危漏洞。这些漏洞涉及多个知名开源项目，包括：
- OpenSSH
- GnuTLS
- GOGS
- Thorium
- libssh
- PHP
- Chromium
部分已识别的CVE漏洞包括：
- GnuPG: CVE-2026-24881, CVE-2026-24882
- GnuTLS: CVE-2025-32988, CVE-2025-32989
- GOGS: CVE-2025-64175, CVE-2026-25242
技术原理
据OpenAI介绍，最新版本的应用安全代理利用其前沿模型的推理能力，结合自动化验证来最小化误报风险并提供可操作的修复方案。
OpenAI对相同仓库的持续扫描显示，检测精度不断提高，误报率下降超过50%。
Codex Security通过三个步骤工作：
- 系统分析：分析仓库结构，理解项目安全相关的架构，生成可编辑的威胁模型
- 漏洞识别：基于系统上下文识别漏洞，根据实际影响分类，并在沙箱环境中验证
- 修复建议：提出与系统行为最佳匹配的修复方案，减少回归问题
OpenAI表示："当Codex Security配置了针对项目定制的环境后，它可以在运行系统的上下文中直接验证潜在问题，进一步降低误报率，并创建可行的概念验证，为安全团队提供更强有力的证据和更清晰的修复路径。"
行业趋势
Codex Security的发布紧随Anthropic推出Claude Code Security之后，后者同样帮助用户扫描代码库漏洞并提供补丁建议。这标志着AI驱动的代码安全工具正在成为行业新趋势。
原文来源：The Hacker News