OpenAI本周推出Codex Security，作为Codex编程助手的新工具，旨在帮助开发者发现并修复代码安全漏洞。该工具基于去年在小范围客户中测试的安全研究代理Aardvark开发而成。据OpenAI称，Beta测试已将Code Security的误报率降低50%以上。
约两周前，Anthropic推出了功能类似的Claude Code Security，可分析代码库、识别漏洞并提供修复建议，Codex Security的工作机制与之相似。测试期间，Codex Security发现了约800个关键问题，并在公开代码仓库中检测到超过10,500个高严重性问题。
Codex Security 如何工作？
开发者授权访问目标代码仓库即可启用该工具。Codex Security会在隔离容器中创建代码库临时副本并进行检查，此过程可能需数天。分析完成后，OpenAI会生成一份名为“威胁模型”（Threat Model）的自然语言文档，详细说明程序工作原理及潜在安全漏洞位置。
威胁模型包含允许终端用户上传数据的界面组件信息，此类模块易受网络攻击。开发者可自定义威胁模型，添加详细信息以指定Codex Security重点关注的敏感应用组件。
Codex Security利用威胁模型指导漏洞扫描：在虚拟环境中发现缺陷后，验证其是否可被利用；通过过滤误报并按严重程度排序；同时记录未通过虚拟环境测试的缺陷日志，供开发者排查可能被误判的漏洞。
此外，Codex Security为每个漏洞提供修复建议，包含解决代码及自然语言说明。开发者审查后，点击按钮即可将修复代码部署至生产环境。
目前，Codex Security以研究预览版形式向Enterprise、Business和Edu客户开放，首月免费使用。