OpenAI、Codex Securityをリサーチプレビュー──脅威モデルから検証済みパッチ提案までAIが支援

OpenAIは、アプリケーションセキュリティエージェント「Codex Security」をリサーチプレビューとして提供開始した。旧称Aardvarkとして開発されてきた取り組みで、プロジェクト固有の文脈を理解し、脆弱性の発見、検証、修正案の提示までを支援する。

AIにより開発速度が上がるほど、セキュリティレビューはボトルネックになりやすい。重要なのは検出件数を増やすことではなく、本当に危険な問題を絞り込み、再現性と修正案を示すことだ。

Codex Securityは何をするのか

Codex Securityは、リポジトリを解析して編集可能な脅威モデルを作り、システムが何を信頼し、どこに露出しているかを把握する。そのうえで脆弱性を探し、可能な場合はサンドボックス環境で検証し、システムの意図に沿ったパッチ案を提示する。

数字で示された改善

OpenAIは、ベータ期間を通じて検出品質を改善し、あるケースでは初期ロールアウト以降にノイズを84%削減したと説明している。また、過大な深刻度報告は90%以上、検出の誤検知率は全リポジトリ横断で50%以上低下したという。

日本企業への示唆

セキュリティAIを導入するなら、既存のSASTや依存関係スキャンを置き換える発想より、レビュー負荷の高い複雑なバグ、認証・認可、テナント分離、SSRFのような文脈依存のリスクに使うのが現実的だ。

注意点

AIの検出とパッチ提案は人間レビューを置き換えない。脅威モデルの前提、検証環境、秘密情報の扱い、修正後の回帰テストを運用に組み込む必要がある。

参考：OpenAI公式発表 / Aardvark紹介