היום אנחנו מציגים את Codex Security, הסוכן שלנו לאבטחת יישומים. הוא מגבש הבנה מעמיקה של ההקשר בפרויקט שלכם כדי לזהות חולשות מורכבות שכלים אג'נטיים אחרים מחמיצים. הוא מציג ממצאים ברמת ודאות גבוהה יותר, עם תיקונים שמשפרים משמעותית את אבטחת המערכת שלכם, וחוסך לכם את הרעש של באגים חסרי חשיבות.
ההקשר חיוני להערכת סיכוני אבטחה אמיתיים, אבל רוב כלי האבטחה מבוססי הבינה המלאכותית פשוט מסמנים ממצאים בעלי השפעה מועטה וזיהויים שגויים, ומאלצים את צוותי האבטחה להקדיש זמן רב למיון ולתעדוף. במקביל, סוכנים מאיצים את פיתוח התוכנה, וסקירות האבטחה הופכות לצוואר בקבוק משמעותי יותר ויותר. Codex Security נותן מענה לשני האתגרים. באמצעות שילוב של reasoning אג'נטי ממודלי החזית שלנו עם אימות אוטומטי, הוא מספק ממצאים ברמת ודאות גבוהה ותיקונים שניתן ליישם, כך שצוותים יוכלו להתמקד בחולשות החשובות ולשחרר קוד מאובטח מהר יותר.
Codex Security, שנודע בעבר בשם Aardvark, החל לפעול בשנה שעברה כגרסת בטא סגורה עם קבוצה קטנה של לקוחות. בפריסות פנימיות מוקדמות הוא חשף חולשת SSRF אמיתית, חולשת אימות קריטית בין דיירים ובעיות רבות נוספות, שצוות האבטחה שלנו תיקן בתוך שעות. פריסות מוקדמות בקרב בודקים חיצוניים עזרו לנו לשפר את האופן שבו משתמשים מספקים הקשר רלוונטי על המוצר ועוברים מתהליך ההצטרפות לאבטחת הקוד שלהם. במהלך הבטא שיפרנו משמעותית גם את איכות הממצאים: סריקות חוזרות של אותם מאגרים מצביעות על דיוק שהולך ומשתפר, ובמקרה אחד הרעש פחת ב-84% מאז הפריסה הראשונית. הפחתנו ביותר מ-90% את שיעור הממצאים שדווחו בדרגת חומרה גבוהה מדי, ושיעור הזיהויים השגויים ירד ביותר מ-50% בכלל המאגרים. השיפורים האלה עוזרים ל-Codex Security להתאים טוב יותר את דרגת החומרה המדווחת לסיכון בפועל ולהפחית את עומס המיון והתעדוף המיותר על צוותי האבטחה. אנחנו מצפים שיחס האות לרעש ימשיך להשתפר.
החל מהיום, Codex Security מושק בהדרגה בתצוגה מקדימה למחקר ללקוחות ChatGPT Pro, Enterprise, Business ו-Edu דרך Codex באינטרנט, עם שימוש בחינם בחודש הקרוב.
Codex Security משתמש במודלי החזית של OpenAI ובסוכן Codex. הוא יכול לצמצם רעש ולהאיץ תיקונים באמצעות עיגון תהליכי הגילוי, האימות והתיקון של חולשות בהקשר הייחודי למערכת.
גיבוש ההקשר של המערכת ויצירת מודל איומים שניתן לעריכה: לאחר הגדרת סריקה, הוא מנתח את המאגר שלכם כדי להבין את מבנה המערכת בהיבטי אבטחה, ומייצר מודל איומים ייעודי לפרויקט. המודל יכול לתאר מה המערכת עושה, על מה היא סומכת והיכן היא חשופה ביותר. אפשר לערוך את מודלי האיומים כדי שהסוכן ימשיך לפעול בהתאם לצורכי הצוות שלכם.
תעדוף ואימות של בעיות: הוא משתמש במודל האיומים כהקשר לחיפוש חולשות ולסיווג הממצאים לפי ההשפעה הצפויה שלהם בפועל על המערכת שלכם. במידת האפשר, הוא בוחן את הממצאים באופן מעמיק בסביבות אימות מבודדות כדי להבחין בין ממצאים משמעותיים לרעש. המשתמשים יכולים לראות את הניתוח הזה בממצאים המאומתים. כאשר מגדירים ל-Codex Security סביבה שמותאמת לפרויקט שלכם, הוא יכול לאמת בעיות פוטנציאליות ישירות בהקשר של המערכת הפעילה. האימות המעמיק הזה יכול לצמצם עוד יותר זיהויים שגויים ולאפשר יצירת הוכחות היתכנות פועלות, כך שצוותי האבטחה יקבלו ראיות חזקות יותר ודרך ברורה יותר לתיקון.
תיקון בעיות מתוך הבנת ההקשר המלא של המערכת: לבסוף, Codex Security מציע תיקונים לבעיות שהתגלו, בהתאם לייעוד המערכת ולהתנהגות הרכיבים שסביבן. כך אפשר ליצור תיקונים שמשפרים את האבטחה תוך צמצום רגרסיות, ולכן בטוח יותר לסקור ולשלב אותם בקוד. המשתמשים יכולים לסנן את הממצאים כדי להתמקד במה שהכי חשוב לצוות שלהם ובעל ההשפעה הגדולה ביותר על האבטחה.
Codex Security יכול גם ללמוד מהמשוב שלכם לאורך זמן כדי לשפר את איכות הממצאים שלו. כשאתם משנים את דרגת החומרה של ממצא, הוא יכול להשתמש במשוב הזה כדי לדייק את מודל האיומים ולשפר את הדיוק בהרצות הבאות, תוך למידה של מה שחשוב בארכיטקטורה שלכם ובפרופיל הסיכון שלכם.
הוא תוכנן לפעול בקנה מידה רחב ולהציג את הממצאים ברמת הוודאות הגבוהה ביותר, לצד תיקונים שקל לאשר ולשלב. ב-30 הימים האחרונים, Codex Security סרק יותר מ-1.2 מיליון קומיטים במאגרים חיצוניים של משתתפי הבטא שלנו, וזיהה 792 ממצאים קריטיים ו-10,561 ממצאים בדרגת חומרה גבוהה. בעיות קריטיות הופיעו בפחות מ-0.1% מהקומיטים שנסרקו. הדבר מראה שהמערכת יכולה לזהות בעיות שמשפיעות על האבטחה בכמויות גדולות של קוד, תוך צמצום הרעש עבור הסוקרים.
תוכנות קוד פתוח הן הבסיס למערכות מודרניות, כולל המערכות שלנו. אנחנו משתמשים ב-Codex Security כדי לסרוק את מאגרי הקוד הפתוח שאנחנו מסתמכים עליהם ביותר, ומשתפים עם המתחזקים ממצאי אבטחה בעלי השפעה משמעותית שאנחנו מזהים, כדי לעזור לחזק את הבסיס הזה.
בשיחות שלנו עם מתחזקים חזר ועלה אותו נושא: האתגר אינו מחסור בדיווחים על חולשות, אלא ריבוי דיווחים באיכות נמוכה. המתחזקים אמרו לנו שהם זקוקים לפחות זיהויים שגויים ולדרך שתאפשר להם לזהות בעיות אבטחה אמיתיות לאורך זמן, בלי להוסיף עומס של מיון ותעדוף. השיחות האלה עזרו לעצב את הדרך שבה אנחנו תומכים בקהילת הקוד הפתוח באמצעות Codex Security. במקום לייצר כמויות גדולות של ממצאים משוערים, אנחנו בונים מערכת שמתעדפת בעיות ברמת ודאות גבוהה, שהמתחזקים יכולים לטפל בהן במהירות.
במסגרת העבודה הזו דיווחנו על חולשות קריטיות למספר פרויקטים נפוצים של קוד פתוח, ובהם OpenSSH(נפתח בחלון חדש), GnuTLS(נפתח בחלון חדש), GOGS(נפתח בחלון חדש), Thorium(נפתח בחלון חדש), libssh, PHP, Chromium ועוד. הוקצו 14 מזהי CVE, עם דיווח כפול על שתי חולשות — שיתפנו כמה דוגמאות בנספח.
לאחרונה התחלנו לצרף קבוצה ראשונה של מתחזקי קוד פתוח ל-Codex for OSS, התוכנית שלנו לתמיכה באקוסיסטם באמצעות חשבונות ChatGPT Pro ו-Plus בחינם, סקירת קוד ו-Codex Security. פרויקטים כמו vLLM כבר השתמשו ב-Codex Security כדי למצוא ולתקן בעיות כחלק מתהליך העבודה השוטף שלהם.
אנחנו מתכננים להרחיב את התוכנית בשבועות הקרובים, כדי שלמתחזקים נוספים תהיה דרך ישירה לשפר את האבטחה, לחזק את תהליכי הסקירה ולקבל תמיכה בעבודת הקוד הפתוח שהאקוסיסטם נשען עליה. אם אתם מתחזקים פרויקט קוד פתוח ומעוניינים להשתתף, צרו איתנו קשר.
בימים הקרובים נפתח בהדרגה את הגישה ל-Codex Security ללקוחות ChatGPT Enterprise, Business ו-Edu. עיינו בתיעוד שלנו(נפתח בחלון חדש) כדי ללמוד עוד על הגדרת Codex Security לצוות שלכם.
דוגמאות לחולשות בעלות השפעה משמעותית בתוכנות קוד פתוח, שהתגלו באמצעות Codex Security:
גלישת חוצץ בערימה ב-certtool של GnuTLS (חריגה באחד) — CVE-2025-32990(נפתח בחלון חדש)
קריאה מעבר לגבולות חוצץ בערימה בעת ניתוח הרחבת SCT ב-GnuTLS — CVE-2025-32989(נפתח בחלון חדש)
שחרור כפול של זיכרון בייצוא SAN מסוג otherName ב-GnuTLS — CVE-2025-32988(נפתח בחלון חדש)
עקיפת אימות דו-שלבי ב-GOGS — CVE-2025-64175(נפתח בחלון חדש)
עקיפה ללא אימות ב-GOGS — CVE-2026-25242(נפתח בחלון חדש)
חציית נתיבים (כתיבה שרירותית) — download_ephemeral, download_children (סוכן) — CVE-2025-35430(נפתח בחלון חדש)
הזרקת LDAP (מסננים ו-DN) — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431(נפתח בחלון חדש)
מניעת שירות ושימוש לרעה בדוא"ל ללא אימות — resend_email_verification — CVE-2025-35432(נפתח בחלון חדש), CVE-2025-35436(נפתח בחלון חדש)
מזהה ההפעלה אינו מוחלף בעת שינוי סיסמה — User::update_user — CVE-2025-35433(נפתח בחלון חדש)
אימות TLS מושבת — לקוח Elasticsearch — CVE-2025-35434(נפתח בחלון חדש)
מניעת שירות: חלוקה באפס — /api/streams/depth/.../{split} — CVE-2025-35435(נפתח בחלון חדש)
גלישת חוצץ במחסנית ב-gpg-agent באמצעות PKDECRYPT --kem=CMS (ECC KEM) — CVE-2026-24881(נפתח בחלון חדש)
גלישת חוצץ במחסנית ב-TPM2 PKDECRYPT עבור RSA ו-ECC עקב היעדר אימות של אורך הטקסט המוצפן — CVE-2026-24882(נפתח בחלון חדש)
גלישת חוצץ במחסנית בפרמטרי ASN.1 של CMS/PKCS7 AES-GCM — CVE-2025-15467(נפתח בחלון חדש)
גלישה ב-keyLength של PKCS#12 PBMAC1 PBKDF2 ועקיפת MAC — CVE-2025-11187(נפתח בחלון חדש)
