OpenAIが「Codex Security」公開：高精度な脆弱性検出と修正パッチを自動提示

従来のセキュリティ診断ツールを導入したものの、画面を埋め尽くす大量の誤検知と些細な警告の仕分けに追われ、開発チームが疲弊してしまうという光景は珍しくありません。

OpenAI はこの問題にエージェント技術で挑みます。同社はこれまで「Aardvark」のコードネームで限定テストを行ってきたセキュリティエージェントを「Codex Security」と命名し、ChatGPT Pro、Enterprise、Business、Edu ユーザー向けにリサーチプレビューとして公開しました。最初の1か月間は無料で利用できます。

脅威モデルを自作し、サンドボックスで再現実験

Codex Security は、単にコードの構文パターンを拾うだけではありません。リポジトリ全体を読み解き、システムが何を信頼し、どこが外部に晒されているかを把握した上で、編集可能な脅威モデルを自動構築します。

開発チームはこの脅威モデルを微調整して自社のリスク許容度に合わせることができ、重大度の判定に対するフィードバックを与えることで、エージェントはスキャン精度を自律的に向上させます。

脆弱性の候補を見つけると、隔離されたサンドボックス環境で再現検証を実施します。実際に動作する実証コード（PoC）を作成して悪用可能か圧力をかけ、本物の脅威だけを選別する仕組みです。

問題が確定した場合は、周辺コードの意図を汲み取った修正パッチまで提示し、修正に伴うリグレッションの発生を防ぎます。

ベータ期間中の実績として、誤検知率は50%以上低下し、過剰に深刻と判定される割合も90%以上削減されました。あるリポジトリではノイズが初期から84%削減されたとされています。

直近30日間で120万回以上のコミットをスキャンし、792件のクリティカルな問題と10561件の高深刻度な問題を検出しました。クリティカルな問題の検出率はコミット全体の0.1%未満に抑えられています。

すでに OpenSSH や GnuTLS、PHP、Chromium などの著名オープンソースで14件の CVE を取得しており、バッファオーバーフローや認証バイパスの特定に成功しています。

なぜ重要か

AI によるコーディング支援で開発速度が急加速する一方、セキュリティ監査が開発フロー全体の最大のボトルネックになりつつありました。

私たちは、Codex Security が単なる静的解析にとどまらず、サンドボックス内での PoC 実行による検証まで踏み込んだ点を高く評価しています。机上の空論ではなく実証済みの脆弱性とパッチを届けるアプローチは、セキュリティ担当者のトリアージ負担を劇的に減らすはずです。

対象プランを契約しているチームであれば、初月の無料期間中に主要リポジトリを一通り走らせてみる価値は十分にあります。パッチを採用しなくても、生成される脅威モデルを見るだけで自社システムの死角を再点検できます。

ただし、複雑な社内システム特有のビジネスロジックに AI パッチが完璧に追随できるとは限りません。自動生成されたパッチを過信せず、最終的なマージ判断には依然として人間の入念なレビューが不可欠です。