OpenAI 推出 Codex Security：專找高危漏洞還會寫補丁

以前大家做程式碼安全審計，最頭疼的往往不是找不出漏洞，而是安全工具一跑就吐出成百上千條警告，點開一看全是不痛不癢的瑣碎問題，甚至是大批誤報。

安全工程師每天大半時間都耗在給這堆噪音分揀排期上。OpenAI 現在想用 AI 智慧體來收拾這個爛攤子。今天他們把原本代號為 Aardvark 的安全工具正式定名為 Codex Security，以研究預覽的形式推向 ChatGPT Pro、Enterprise、Business 和 Edu 使用者，並且首月免費開放。

先給系統建個威脅模型，再用沙盒跑驗證

傳統的靜態掃描工具只看程式碼字面邏輯，很容易疑神疑鬼。Codex Security 的做法是先把整個程式碼倉庫吃透，分析系統結構、信任邊界和暴露面，先生成一份針對該專案的威脅模型。

這份威脅模型不是鎖死的，安全團隊可以手動編輯和修正，告訴 AI 哪些資產更重要、哪些外部輸入完全可信。AI 也會根據團隊對漏洞嚴重性的反饋持續修正判斷。

有了全域性視野後，它再去抓漏洞，並且不只停留在猜測階段。如果配置了沙盒驗證環境，Codex Security 會在隔離環境裡直接施加壓力測試，甚至生成可以實際執行的驗證概念（PoC），用實錘來證明漏洞確實存在。

確認問題後，它還會結合系統原本的業務意圖直接給出修復補丁，儘量避免補丁修好了安全漏洞卻導致原有業務功能報錯退化。

從 OpenAI 公佈的內測資料看，這種結合沙盒驗證的做法效果很明顯。整個測試期間，誤報率降了 50% 以上，誇大嚴重等級的情況減少了 90% 以上，有個別程式碼庫的告警噪音直接砍掉了 84%。

在過去 30 天裡，它掃描了外部測試團隊超過 120 萬次提交，抓出了 792 個嚴重漏洞和 10561 個高危問題。值得一提的是，嚴重漏洞在所有 commit 中的佔比低於 0.1%，這說明它確實沒有為了刷存在感而亂報級別。

在外部實戰中，它已經給 OpenSSH、GnuTLS、PHP、Chromium 和 GOGS 等知名開源專案提交了漏洞報告，拿下了 14 個 CVE 編號，涵蓋堆緩衝區溢位、雙重釋放和雙因素認證繞過等棘手問題。

為什麼重要

我們認為，Codex Security 抓住了當下軟體工程最大的痛點：生成程式碼的速度正在指數級上升，但人工審程式碼和審安全的精力是極其有限的。

市面上很多 AI 程式設計工具只會寫程式碼，而安全掃描工具還在吐出海量低質量告警，兩頭一擠，安全團隊反而成了最大的生產力瓶頸。讓 AI 在沙盒裡自己跑 PoC 驗證，把確認能打通攻擊鏈路的真漏洞挑出來，甚至直接附帶修好的程式碼，這種交付閉環非常聰明。

對於日常寫程式碼的開發者和中小團隊來說，如果現在擁有對應訂閱許可權，首月免費期間非常值得拿核心倉庫跑一遍。哪怕不用它自動改程式碼，光是看一眼它生成的系統威脅模型，也能幫你重新梳理一遍架構暴露面。

但這裡也有個隱患需要警惕。自動化提 PR 和修程式碼在邏輯清晰的通用開源庫裡表現不錯，但在很多大企業複雜的自研系統裡，依賴 AI 去猜系統意圖仍然可能引入微妙的業務邏輯迴歸。真正的防護依然少不了人工對沙盒結果和補丁的最終把關。