I dag introducerer vi Codex Security, vores applikationssikkerhedsagent. Den opbygger dybdegående kontekst om dit projekt for at identificere komplekse sårbarheder, som andre agentværktøjer overser, og afdækker dermed mere sikre resultater med rettelser, der forbedrer dit systems sikkerhed markant, samtidig med at du skånes for støjen fra ubetydelige fejl.
Kontekst er afgørende, når man vurderer reelle sikkerhedsrisici, men de fleste AI-sikkerhedsværktøjer markerer blot fund med lav påvirkning og falske positiver, hvilket tvinger sikkerhedsteams til at bruge betydelig tid på triage. Samtidig fremskynder agenter softwareudvikling, hvilket gør sikkerhedsgennemgang til en stadig mere kritisk flaskehals.
Codex Security håndterer begge udfordringer. Ved at kombinere agentisk ræsonnering fra vores banebrydende modeller med automatiseret validering leverer det fund med høj sikkerhed og handlingsrettede rettelser, så teams kan fokusere på de sårbarheder, der betyder noget, og levere sikker kode hurtigere.
Codex Security, tidligere kendt som Aardvark, startede sidste år som en privat betaversion med en lille gruppe kunder. I de tidlige interne implementeringer dukkede der en reel SSRF op, en kritisk sikkerhedsrisiko ved tværgående brugergodkendelse, samt mange andre problemer, som vores sikkerhedsteam løste inden for få timer. Tidlige implementeringer med eksterne testere hjalp os med at forbedre, hvordan brugere leverer relevant produktkontekst og går fra onboarding til at sikre deres kode. Vi forbedrede også kvaliteten af vores resultater betydeligt i løbet af betaversionen: Scanninger på de samme databaser over tid viser stigende præcision, i ét tilfælde med en reduktion af støj på 84 % siden den første udrulning. Vi har reduceret antallet af fund med overrapporteret alvorlighedsgrad med mere end 90 %, og antallet af falske positiver i detektioner er faldet med mere end 50 % på tværs af alle lagre. Disse forbedringer hjælper Codex Security med bedre at tilpasse rapporteret alvorlighedsgrad til risikoen i den virkelige verden og reducere unødvendig triage-byrde for sikkerhedsteams. Vi forventer, at signal-støj-forholdet fortsat vil forbedres med yderligere investeringer.
Fra og med i dag er Codex Security begyndt at blive udrullet til ChatGPT Enterprise-, Business- og Edu-kunder via Codex web med gratis brug i den næste måned.
Codex Security udnytter OpenAI’s banebrydende modeller og Codex-agenten. Det kan reducere støj og fremskynde afhjælpning ved at basere opdagelse, validering og patching af sårbarheder på systemspecifik kontekst.
- Opbyg systemkontekst, og opret en redigerbar trusselsmodel: Efter konfiguration af en scanning analyserer den dit lager for at forstå systemets sikkerhedsrelevante struktur og genererer en projektspecifik trusselsmodel, der kan indfange, hvad systemet gør, hvad det har tillid til, og hvor det er mest eksponeret. Trusselsmodeller kan redigeres for at holde agenten på linje med dit team.
- Prioriter og valider problemer: Med trusselsmodellen som kontekst søger den efter sårbarheder og kategoriserer fund baseret på den forventede virkelige påvirkning i dit system. Hvor det er muligt, tester det resultaterne i sandkassevalideringsmiljøer for at skelne signal fra støj. Brugere kan se denne analyse i de validerede resultater. Når Codex Security er konfigureret med et miljø, der er skræddersyet til dit projekt, kan det validere potentielle problemer direkte i konteksten af det kørende system. Den dybere validering kan reducere falske positiver yderligere og muliggøre oprettelsen af fungerende proof-of-concepts, hvilket giver sikkerhedsteams stærkere beviser og en klarere vej til afhjælpning.
- Ret problemer med fuld systemkontekst: Til sidst foreslår Codex Security rettelser til de opdagede problemer, der er i overensstemmelse med systemets hensigt og den omgivende adfærd. Dette muliggør rettelser, der kan forbedre sikkerheden, samtidig med at de minimerer regressioner, hvilket gør dem mere sikre at gennemgå og lande. Brugere kan filtrere resultaterne, så de kan holde fokus på det, der er vigtigst for deres team, og som har den største sikkerhedsmæssige virkning.
Codex Security kan også lære af din feedback over tid for at forbedre kvaliteten af sine resultater. Når du justerer kritikaliteten af et fund, kan den bruge den feedback til at forfine trusselsmodellen og forbedre præcisionen ved efterfølgende kørsler, efterhånden som den lærer, hvad der betyder noget i din arkitektur og risikoprofil.
Den er designet til at fungere i stor skala og fremhæve de mest pålidelige fund med let accepterbare patches. I løbet af de seneste 30 dage scannede Codex Security mere end 1,2 millioner commits på tværs af eksterne lagre i vores betakohorte og identificerede 792 kritiske fund og 10.561 fund med høj alvorlighedsgrad. Der opstod kritiske problemer i under 0,1 % af de scannede commits, hvilket viser, at systemet kan identificere sikkerhedspåvirkende problemer i store mængder kode, samtidig med at støjen for kodegennemgang minimeres.
"Som en virksomhed med et skarpt fokus på produktsikkerhed var NETGEAR tilfreds med at deltage i programmet for tidlig adgang, og resultaterne oversteg forventningerne." Codex Security blev integreret problemfrit i vores robuste sikkerhedsudviklingsmiljø, hvilket styrkede tempoet og dybden i vores gennemgangsprocesser. Dens resultater var imponerende klare og omfattende og gav ofte en fornemmelse af, at en erfaren produktsikkerhedsforsker arbejdede sammen med os."
Open source-software udgør grundlaget for moderne systemer, herunder vores egne. Vi har brugt Codex Security til at scanne de open source-lagre, vi er mest afhængige af, og vi deler de sikkerhedsfund med stor effekt, som vi identificerer, med vedligeholdere for at hjælpe med at styrke det fundament.
I vores samtaler med vedligeholdere dukkede et konstant tema op: Udfordringen er ikke mangel på sårbarhedsrapporter, men for mange af lav kvalitet. Vedligeholderne fortalte os, at de har brug for færre falske positive og en mere bæredygtig måde at afdække reelle sikkerhedsproblemer på uden at skabe yderligere triagebyrde. Disse samtaler var med til at forme, hvordan vi støtter open source-fællesskabet med Codex Security. Snarere end at generere store mængder spekulative fund bygger vi et system, der prioriterer problemer med høj sikkerhed, som vedligeholdere hurtigt kan handle på.
Som en del af dette arbejde rapporterede vi kritiske sårbarheder til en række meget brugte open source-projekter, herunder OpenSSH(åbner i et nyt vindue), GnuTLS(åbner i et nyt vindue), GOGS(åbner i et nyt vindue), Thorium(åbner i et nyt vindue) libssh, PHP og Chromium og flere. 14 CVE'er er blevet tildelt med dobbelt rapportering på to — vi har delt nogle eksempler i bilaget.
Vi er for nylig begyndt at onboarde en indledende kohorte af open-source-vedligeholdere til Codex for OSS, vores program til at støtte økosystemet med gratis ChatGPT Pro- og Plus-konti, kodegennemgang og Codex Security. Projekter som vLLM har allerede brugt Codex Security til at finde og rette problemer som en del af deres normale arbejdsgang.
Vi planlægger at udvide programmet i de kommende uger, så flere vedligeholdere får en direkte vej til bedre sikkerhed, stærkere arbejdsgange for gennemgang og støtte til det open source-arbejde, som økosystemet afhænger af. Hvis du er en open source-vedligeholder og interesseret, så kontakt os.
Vi vil udrulle Codex Security-adgang til ChatGPT Enterprise-, Business- og Edu-kunder i løbet af de kommende dage. Læs vores dokumenter(åbner i et nyt vindue) for at få mere at vide om, hvordan du opsætter Codex Security til dit team.
- GnuTLS certtool Heap-Buffer Overflow (Off-by-One) — CVE-2025-32990(åbner i et nyt vindue)
- GnuTLS Heap Buffer Overread in SCT Extension Parsing — CVE-2025-32989(åbner i et nyt vindue)
- GnuTLS Double-Free in otherName SAN Export — CVE-2025-32988(åbner i et nyt vindue)
- 2FA Bypass GOGS — CVE-2025-64175(åbner i et nyt vindue)
- Unauth bypass GOGS — CVE-2026-25242(åbner i et nyt vindue)
- Path traversal (arbitrary write) — download_ephemeral, download_children (agent) — CVE-2025-35430(åbner i et nyt vindue)
- LDAP injection (filters & DN) — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431(åbner i et nyt vindue)
- Unauthenticated DoS & mail abuse — resend_email_verification — CVE-2025-35432(åbner i et nyt vindue) , CVE-2025-35436(åbner i et nyt vindue)
- Session not rotated on password change — User::update_user — CVE-2025-35433(åbner i et nyt vindue)
- Disabled TLS verification — Elasticsearch client — CVE-2025-35434(åbner i et nyt vindue)
- DoS: division by zero — /api/streams/depth/.../{split} — CVE-2025-35435(åbner i et nyt vindue)
- gpg-agent stack buffer overflow via PKDECRYPT --kem=CMS (ECC KEM) — CVE-2026-24881(åbner i et nyt vindue)
- Stack-based buffer overflow in TPM2 PKDECRYPT for RSA and ECC due to missing ciphertext length validation — CVE-2026-24882(åbner i et nyt vindue)
- CMS/PKCS7 AES-GCM ASN.1 params stack buffer overflow — CVE-2025-15467(åbner i et nyt vindue)
- PKCS#12 PBMAC1 PBKDF2 keyLength overflow + MAC bypass — CVE-2025-11187(åbner i et nyt vindue)
