2026年3月6日

Codex Security が研究プレビュー版として利用可能に

読み込んでいます...

本日、アプリケーションセキュリティエージェント「Codex Security」を発表します。Codex Security はプロジェクトの構造や動作を深く理解し、他のエージェント型ツールでは見逃されがちな複雑な脆弱性を特定します。重要でないバグによる不要なアラートを減らしながら、信頼性の高い検出結果と修正案を提示し、システムのセキュリティを実質的に向上させます。

実際のセキュリティリスクを評価するには、システムのコンテキストを理解することが不可欠です。しかし多くの AI セキュリティツールは、影響の小さい検出結果や誤検知にフラグを立てるだけで、セキュリティチームは脆弱性のトリアージ作業に多くの時間を費やさざるを得ません。一方で、エージェントの普及によりソフトウェア開発のスピードは加速しており、セキュリティレビューはますます大きなボトルネックになりつつあります。

Codex Security は、こうした課題の両方に対応します。OpenAI のフロンティアモデルによるエージェント型推論と自動検証を組み合わせることで、信頼性の高い検出結果と実行可能な修正案を提供します。これによりチームは本当に重要な脆弱性に集中でき、より安全なコードを迅速にリリースできます。

Codex Security は、以前は Aardvark⁠ と呼ばれており、昨年、少数のお客様を対象としたプライベートベータとして提供を開始しました。初期の社内導入では、実際の SSRF や重大なクロステナント認証の脆弱性を含む多くの問題を検出し、当社のセキュリティチームはそれらを数時間以内に修正しました。外部テスターとの初期導入を通じて、ユーザーが関連するプロダクトコンテキストをどのように提供するか、またオンボーディングからコードのセキュリティ強化までスムーズに移行できるようにする方法を改善しました。ベータ期間を通じて、検出結果の品質も大きく向上しました。同じリポジトリを継続的にスキャンした結果、精度が着実に向上していることが確認されており、あるケースでは初期リリース以降、不要なアラートを84%削減しました。また、重大度が過大に報告される検出結果の割合を90%以上削減し、すべてのリポジトリにおいて誤検知率も50%以上低下しました。これらの改善により、報告される重大度と実際のリスクの整合性が高まり、セキュリティチームの不要な優先度判断の負担も軽減されます。今後の投資によって、有効な検出の割合（シグナル対ノイズ比）はさらに改善していくと見込んでいます。

本日より、Codex Security は Codex Web を通じて ChatGPT Enterprise、Business、Edu のお客様向けに順次提供を開始します。最初の1か月間は無料でご利用いただけます。

Codex Security の仕組み

Codex Security は OpenAI のフロンティアモデルと Codex エージェントを活用しています。システム固有のコンテキストに基づいて脆弱性の検出、検証、パッチ適用を行うことで、不要なアラートを減らし、修正対応を迅速化できます。

システムのコンテキストを構築し、編集可能な脅威モデルを作成：スキャンを設定すると、リポジトリを分析してシステムのセキュリティに関係する構造を把握します。そのうえで、システムの機能、信頼関係、攻撃にさらされやすい箇所を整理した、プロジェクト固有の脅威モデルを生成します。脅威モデルは編集できるため、エージェントの分析をチームの状況に合わせて調整できます。
問題の優先順位付けと検証：脅威モデルをもとに脆弱性を探索し、システムにおける実際の影響度を踏まえて検出結果を分類します。可能な場合は、サンドボックス化された検証環境で検出結果を検証し、有効な検出と不要なアラートを見分けます。ユーザーは、この分析結果を検証済みの検出結果として確認できます。Codex Security をプロジェクトに合わせた環境で構成すると、実行中のシステム環境の中で潜在的な問題を直接検証できます。こうしたより深い検証により、誤検知をさらに減らし、実際に動作する概念実証（PoC）を作成できるようになります。これにより、セキュリティチームはより確かな証拠をもとに、修正対応へ進むことができます。
システム全体のコンテキストを踏まえたパッチ提案：最後に、Codex Security は検出された問題に対して、システムの設計意図や既存の動作と整合する修正案を提案します。これにより、リグレッションを最小限に抑えながらセキュリティを強化するパッチが可能になり、レビューや導入もより安全に行えます。ユーザーは検出結果をフィルタリングし、チームにとって最も重要でセキュリティへの影響が大きい問題に集中できます。

Codex Security は、ユーザーからのフィードバックを継続的に学習し、検出結果の品質を向上させることもできます。検出結果の重大度を調整すると、そのフィードバックをもとに脅威モデルを更新し、アーキテクチャやリスクプロファイルにおいて重要な要素を学習することで、以降のスキャンの精度を高めることができます。

大規模な運用を想定して設計されており、最も確度の高い検出結果を提示するとともに、容易に適用できるパッチを提案します。過去30日間で、Codex Security はベータプログラムに参加した外部リポジトリ全体で120万件以上のコミットをスキャンし、クリティカルな検出結果を792件、重大度の高い検出結果を10,561件特定しました。重大な問題が確認されたのは、スキャンしたコミットの0.1%未満でした。これは、大量のコードの中からセキュリティに影響する問題を特定しつつ、レビュー時のノイズを最小限に抑えられることを示しています。

「製品セキュリティを最優先に取り組む企業として、NETGEAR は早期アクセスプログラムに参加できたことを大変うれしく思っています。その結果は期待を上回るものでした。Codex Security は、当社の堅牢なセキュリティ開発環境にもスムーズに統合され、レビューのスピードと網羅性を高めてくれました。検出結果は非常に明確で包括的であり、経験豊富なプロダクトセキュリティ研究者が隣で一緒に作業しているかのように感じられるほどでした。」

— NETGEAR 製品セキュリティ責任者、CVE Board メンバー、Chandan Nandakumaraiah 氏

オープンソースコミュニティへの支援

オープンソースソフトウェアは、当社のシステムを含め、現代の多くのシステムの基盤となっています。私たちは Codex Security を用いて、特に依存度の高いオープンソースリポジトリをスキャンし、影響の大きいセキュリティ上の問題をメンテナーと共有することで、この基盤の強化に取り組んできました。

メンテナーとの対話を通じて、共通する課題が見えてきました。それは、脆弱性報告が不足していることではなく、低品質な報告が多すぎるという点です。メンテナーからは、誤検知を減らし、追加のトリアージ負担を生むことなく実際のセキュリティ問題を見つけ出せる、より持続可能な方法が必要だという声がありました。こうした対話は、Codex Security を通じたオープンソースコミュニティ支援の方向性を決めるうえで役立ちました。確度の低い検出結果を大量に生成するのではなく、メンテナーが迅速に対応できる確度の高い問題を優先して提示するシステムを構築しています。

この取り組みの一環として、OpenSSH⁠（新しいウィンドウで開く）、GnuTLS⁠（新しいウィンドウで開く）、GOGS⁠（新しいウィンドウで開く）、Thorium⁠（新しいウィンドウで開く）、libssh、PHP、Chromium など、広く利用されている複数のオープンソースプロジェクトに対して重大な脆弱性を報告しました。これまでに14件の CVE が割り当てられており、そのうち2件は共同報告となっています。いくつかの例を付録で紹介しています。

最近、オープンソースメンテナーの最初のグループが「Codex for OSS」の利用を開始しました。Codex for OSS は、ChatGPT Pro と ChatGPT Plus の無料アカウント、コードレビュー、Codex Security を提供し、エコシステムを支援するプログラムです。vLLM などのプロジェクトでは、通常の開発ワークフローの中で Codex Security を活用し、問題の発見と修正に役立てています。

今後数週間のうちにこのプログラムを拡大し、より多くのメンテナーが、セキュリティの強化、レビュー体制の改善、そしてエコシステムを支えるオープンソース活動への支援を受けられるようにする予定です。オープンソースのメンテナーでご関心のある方は、ぜひご連絡ください⁠。