Codex Security: ယခု research preview အဖြစ်

ယနေ့တွင် ကျွန်ုပ်တို့၏ application security အေးဂျင့် ဖြစ်သော Codex Security ကို မိတ်ဆက်လိုက်ပါသည်။ ၎င်းသည် အခြား agentic ကိရိယာများ မတွေ့နိုင်သည့် ရှုပ်ထွေးသော အားနည်းချက်များကို ဖော်ထုတ်နိုင်ရန် သင့်ပရောဂျက်အကြောင်း အနက်ရှိုင်းဆုံး context ကို တည်ဆောက်ပေးပြီး၊ အရေးမပါသော bug များ၏ noise မှ သင့်ကို လွတ်ကင်းစေသလို သင့်စနစ်၏ လုံခြုံရေးကို အမှန်တကယ် တိုးတက်စေသော ပြင်ဆင်မှုများနှင့်အတူ ယုံကြည်မှုမြင့်သော တွေ့ရှိချက်များကို ဖော်ပြပေးပါသည်။

အမှန်တကယ်ရှိသော လုံခြုံရေးအန္တရာယ်များကို အကဲဖြတ်ရာတွင် context သည် မရှိမဖြစ်လိုအပ်သော်လည်း AI လုံခြုံရေးကိရိယာအများစုသည် ထိခိုက်မှုနည်းသော တွေ့ရှိချက်များနှင့် false positive များကိုသာ flag လုပ်လေ့ရှိသောကြောင့် လုံခြုံရေးအဖွဲ့များသည် triage အတွက် အချိန်များစွာ ကုန်ဆုံးရသည်။ တစ်ချိန်တည်းမှာပင် အေးဂျင့်များသည် ဆော့ဖ်ဝဲဖွံ့ဖြိုးရေးကို အရှိန်မြှင့်တင်နေပြီး လုံခြုံရေးသုံးသပ်မှုသည် ပို၍အရေးကြီးလာသော bottleneck တစ်ခု ဖြစ်လာနေသည်။ Codex Security သည် စိန်ခေါ်မှုနှစ်ခုလုံးကို ကိုင်တွယ်ဖြေရှင်းပေးသည်။ ကျွန်ုပ်တို့၏ စွမ်းဆောင်ရည်အမြင့်ဆုံး မော်ဒယ်များမှ agentic reasoning ကို automated validation နှင့် ပေါင်းစပ်ခြင်းအားဖြင့်၊ ၎င်းသည် ယုံကြည်မှုမြင့်သော တွေ့ရှိချက်များနှင့် လက်တွေ့အသုံးချနိုင်သော ပြင်ဆင်မှုများကို ပေးစွမ်းသဖြင့် အဖွဲ့များက အရေးပါသော အားနည်းချက်များအပေါ် အာရုံစိုက်နိုင်ပြီး လုံခြုံသော code ကို ပိုမိုမြန်ဆန်စွာ ship လုပ်နိုင်စေပါသည်။

ယခင်က Aardvark⁠ ဟု လူသိများခဲ့သော Codex Security သည် မနှစ်က ဖောက်သည်အနည်းငယ်နှင့် private beta အဖြစ် စတင်ခဲ့သည်။ အစောပိုင်း internal deployment များတွင် ၎င်းသည် တကယ့် SSRF တစ်ခု၊ အလွန်အရေးကြီးသော cross-tenant authentication အားနည်းချက်တစ်ခုနှင့် အခြားပြဿနာများစွာကို ဖော်ထုတ်ခဲ့ပြီး ကျွန်ုပ်တို့၏ လုံခြုံရေးအဖွဲ့က နာရီပိုင်းအတွင်း patch လုပ်ခဲ့သည်။ အစောပိုင်း external tester များနှင့် deployment များက သုံးစွဲသူများမှ သက်ဆိုင်ရာ product context ကို မည်သို့ပေးအပ်သည်နှင့် onboarding မှ ၎င်းတို့၏ code ကို လုံခြုံစေရန် မည်သို့ရွှေ့ပြောင်းသည်ကို တိုးတက်အောင် ကူညီပေးခဲ့သည်။ Beta ကာလအတွင်း တွေ့ရှိချက်များ၏ အရည်အသွေးကိုလည်း ကျွန်ုပ်တို့ အလွန်တိုးတက်အောင် လုပ်ဆောင်ခဲ့သည်။ အချိန်အလိုက် တူညီသော repository များပေါ်ရှိ scan များက precision တိုးလာကြောင်း ပြသခဲ့ပြီး၊ အမှုတစ်ခုတွင် ကနဦး rollout နောက်ပိုင်း noise ကို 84% အထိ လျှော့ချနိုင်ခဲ့သည်။ အလွန်အကျွံ severity သတ်မှတ်ထားသော တွေ့ရှိချက်များ၏ နှုန်းကို 90% ကျော် လျှော့ချနိုင်ခဲ့ပြီး၊ detection များ၏ false positive နှုန်းများသည် repository အားလုံးတွင် 50% ကျော် ကျဆင်းခဲ့သည်။ ဤတိုးတက်မှုများက Codex Security အား ဖော်ပြထားသော severity ကို လက်တွေ့ကမ္ဘာအန္တရာယ်နှင့် ပိုမိုကိုက်ညီစေပြီး လုံခြုံရေးအဖွဲ့များ၏ မလိုအပ်သော triage burden ကို လျှော့ချပေးကာ signal-to-noise ratio သည် ဆက်လက်တိုးတက်မည်ဟု ကျွန်ုပ်တို့ မျှော်လင့်ပါသည်။

ယနေ့မှစတင်၍ Codex Security ကို Codex web မှတစ်ဆင့် ChatGPT Pro၊ Enterprise၊ Business နှင့် Edu ဖောက်သည်များအတွက် research preview အဖြစ် ဖြန့်ချိနေပြီး နောက်တစ်လအတွက် အခမဲ့အသုံးပြုနိုင်ပါသည်။

Codex Security သည် OpenAI ၏ စွမ်းဆောင်ရည်အမြင့်ဆုံး မော်ဒယ်များနှင့် Codex အေးဂျင့် ကို အသုံးပြုထားသည်။ ၎င်းသည် အားနည်းချက်ရှာဖွေမှု၊ validation နှင့် patching ကို စနစ်အလိုက် သီးသန့် context ပေါ်တွင် အခြေပြုခိုင်မာစေခြင်းဖြင့် noise ကို လျှော့ချပြီး remediation ကို အရှိန်မြှင့်နိုင်ပါသည်။

1. စနစ် context ကို တည်ဆောက်ပြီး ပြင်ဆင်နိုင်သော threat model တစ်ခု ဖန်တီးပါ- scan တစ်ခုကို configure လုပ်ပြီးနောက် ၎င်းသည် စနစ်၏ လုံခြုံရေးနှင့်သက်ဆိုင်သော ဖွဲ့စည်းပုံကို နားလည်ရန် သင့် repository ကို ခွဲခြမ်းစိတ်ဖြာကာ စနစ်က ဘာလုပ်သည်၊ ဘာကို ယုံကြည်သည်၊ ဘယ်နေရာများတွင် အများဆုံး ထိခိုက်လွယ်သည်ကို ဖမ်းယူနိုင်သော ပရောဂျက်သီးသန့် threat model တစ်ခုကို ထုတ်လုပ်ပေးသည်။ Threat model များကို သင့်အဖွဲ့နှင့် အေးဂျင့် ကို ကိုက်ညီနေစေရန် တည်းဖြတ်နိုင်သည်။
2. ပြဿနာများကို ဦးစားပေးပြီး validate လုပ်ပါ- threat model ကို context အဖြစ် အသုံးပြု၍ ၎င်းသည် အားနည်းချက်များကို ရှာဖွေကာ သင့်စနစ်အတွင်း မျှော်လင့်ထားသော လက်တွေ့ကမ္ဘာ ထိခိုက်မှုအပေါ် အခြေခံပြီး တွေ့ရှိချက်များကို အမျိုးအစားခွဲပေးသည်။ ဖြစ်နိုင်သည့်နေရာများတွင် signal နှင့် noise ကို ခွဲခြားနိုင်ရန် sandboxed validation environment များတွင် တွေ့ရှိချက်များကို pressure-test လုပ်သည်။ သုံးစွဲသူများသည် ဤခွဲခြမ်းစိတ်ဖြာမှုကို validated findings တွင် မြင်နိုင်သည်။ Codex Security ကို သင့်ပရောဂျက်နှင့် ကိုက်ညီသော environment ဖြင့် configure လုပ်ထားပါက ၎င်းသည် လည်ပတ်နေသောစနစ်၏ context အတွင်း၌ပင် ဖြစ်နိုင်သော ပြဿနာများကို တိုက်ရိုက် validate လုပ်နိုင်သည်။ ထို ပိုမိုနက်ရှိုင်းသော validation သည် false positive များကို ပိုမိုလျှော့ချနိုင်ပြီး လက်တွေ့အလုပ်လုပ်သော proof-of-concept များ ဖန်တီးနိုင်စေသဖြင့် လုံခြုံရေးအဖွဲ့များအား ပိုမိုခိုင်မာသော အထောက်အထားနှင့် remediation အတွက် ပိုမိုရှင်းလင်းသော လမ်းကြောင်းကို ပေးစွမ်းသည်။
3. စနစ် context အပြည့်ဖြင့် ပြဿနာများကို patch လုပ်ပါ- နောက်ဆုံးတွင် Codex Security သည် စနစ်၏ ရည်ရွယ်ချက်နှင့် ပတ်ဝန်းကျင်အပြုအမူတို့နှင့် ကိုက်ညီသော ပြင်ဆင်မှုများကို တွေ့ရှိထားသော ပြဿနာများအတွက် အဆိုပြုပေးသည်။ ဤအရာက regressions ကို အနည်းဆုံးဖြစ်စေသည့်အပြင် လုံခြုံရေးကို တိုးတက်စေမည့် patch များကို ဖြစ်စေပြီး review လုပ်ရန်နှင့် land လုပ်ရန် ပိုမိုလုံခြုံစေသည်။ သုံးစွဲသူများသည် ၎င်းတို့၏အဖွဲ့အတွက် အရေးအကြီးဆုံးနှင့် လုံခြုံရေးထိခိုက်မှု အမြင့်ဆုံးအရာများအပေါ် အာရုံစိုက်နေစေရန် findings များကို filter လုပ်နိုင်သည်။

Codex Security သည် အချိန်ကြာလာသည်နှင့်အမျှ သင့် feedback မှလည်း သင်ယူကာ ၎င်း၏ တွေ့ရှိချက်များ၏ အရည်အသွေးကို မြှင့်တင်နိုင်ပါသည်။ တွေ့ရှိချက်တစ်ခု၏ criticality ကို သင်ပြင်ဆင်သောအခါ ၎င်းသည် ထို feedback ကို အသုံးပြု၍ threat model ကို ပိုမိုကောင်းမွန်အောင် ပြင်ဆင်နိုင်ပြီး သင့် architecture နှင့် risk posture တွင် ဘာက အရေးကြီးသည်ကို သင်ယူလာသည်နှင့်အမျှ နောက်ပိုင်း run များတွင် precision ကို တိုးတက်စေနိုင်သည်။

၎င်းကို scale အလိုက် လည်ပတ်နိုင်ရန်နှင့် လက်ခံရလွယ်ကူသော patch များနှင့်အတူ ယုံကြည်မှုအမြင့်ဆုံး တွေ့ရှိချက်များကို ဖော်ထုတ်နိုင်ရန် ဒီဇိုင်းထုတ်ထားပါသည်။ ပြီးခဲ့သော 30 ရက်အတွင်း Codex Security သည် ကျွန်ုပ်တို့၏ beta cohort ရှိ ပြင်ပ repository များအနှံ့ commit 1.2 million ကျော်ကို scan လုပ်ခဲ့ပြီး critical findings 792 ခုနှင့် high-severity findings 10,561 ခုကို ဖော်ထုတ်ခဲ့သည်။ Critical ပြဿနာများသည် scan လုပ်ထားသော commit များ၏ 0.1% အောက်တွင်သာ တွေ့ရပြီး၊ ၎င်းက reviewer များအတွက် noise ကို အနည်းဆုံးထားရှိစဉ် code အများအပြားထဲရှိ လုံခြုံရေးထိခိုက်စေသော ပြဿနာများကို စနစ်က ဖော်ထုတ်နိုင်ကြောင်း ပြသသည်။

Open source software သည် ကျွန်ုပ်တို့၏ ကိုယ်ပိုင်စနစ်များအပါအဝင် ခေတ်မီစနစ်များ၏ အခြေခံအုတ်မြစ်ဖြစ်သည်။ ကျွန်ုပ်တို့ အများဆုံး အားကိုးရသော open-source repository များကို scan လုပ်ရန် Codex Security ကို အသုံးပြုနေပြီး၊ ထိုအုတ်မြစ်ကို ပိုမိုခိုင်မာစေရန် ကျွန်ုပ်တို့ ဖော်ထုတ်သော high impact security findings များကို maintainer များနှင့် မျှဝေပေးနေပါသည်။

Maintainer များနှင့် ကျွန်ုပ်တို့ ပြောဆိုဆွေးနွေးမှုများတွင် တစ်သမတ်တည်း ထွက်ပေါ်လာသော အကြောင်းအရာတစ်ခု ရှိခဲ့သည်။ စိန်ခေါ်မှုမှာ vulnerability report များ မရှိခြင်း မဟုတ်ဘဲ အရည်အသွေးနိမ့်သော report များ များလွန်းခြင်း ဖြစ်သည်။ Maintainer များက false positive ပိုနည်းပြီး အပို triage burden မဖန်တီးဘဲ အမှန်တကယ်ရှိသော လုံခြုံရေးပြဿနာများကို ဖော်ထုတ်နိုင်မည့် ပိုမိုတည်တံ့သော နည်းလမ်းတစ်ခု လိုအပ်ကြောင်း ကျွန်ုပ်တို့အား ပြောခဲ့သည်။ ဤဆွေးနွေးမှုများက Codex Security ဖြင့် open source အသိုင်းအဝိုင်းကို ကျွန်ုပ်တို့ မည်သို့ပံ့ပိုးမည်ကို ပုံဖော်ပေးခဲ့သည်။ အကဲဖြတ်ရသေးသော တွေ့ရှိချက်များကို အမြောက်အမြား ထုတ်ပေးခြင်းထက်၊ maintainer များက လျင်မြန်စွာ အရေးယူနိုင်သော ယုံကြည်မှုမြင့် ပြဿနာများကို ဦးစားပေးသော စနစ်တစ်ခုကို ကျွန်ုပ်တို့ တည်ဆောက်နေပါသည်။

ဤလုပ်ငန်း၏ တစ်စိတ်တစ်ပိုင်းအဖြစ် ကျွန်ုပ်တို့သည် OpenSSH⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)၊ GnuTLS⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)၊ GOGS⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)၊ Thorium⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)၊ libssh၊ PHP နှင့် Chromium စသည့် ကျယ်ကျယ်ပြန့်ပြန့် အသုံးပြုနေသော open-source ပရောဂျက်များစွာထံ အရေးကြီးသော အားနည်းချက်များကို အစီရင်ခံခဲ့သည်။ CVE 14 ခု သတ်မှတ်ခံထားရပြီး၊ အဲဒီအထဲမှ 2 ခုတွင် dual reporting ရှိသည် — ဥပမာအချို့ကို Appendix တွင် မျှဝေထားပါသည်။

မကြာသေးမီက ကျွန်ုပ်တို့သည် ecosystem ကို အခမဲ့ ChatGPT Pro နှင့် Plus account များ၊ code review နှင့် Codex Security ဖြင့် ပံ့ပိုးရန် ရည်ရွယ်သော ကျွန်ုပ်တို့၏ အစီအစဉ် Codex for OSS ထဲသို့ open-source maintainer များ၏ ကနဦး cohort တစ်ခုကို onboarding စတင်ခဲ့သည်။ vLLM ကဲ့သို့သော ပရောဂျက်များသည် ၎င်းတို့၏ ပုံမှန် workflow ၏ တစ်စိတ်တစ်ပိုင်းအဖြစ် Codex Security ကို အသုံးပြုပြီး ပြဿနာများကို ရှာဖွေကာ patch လုပ်ထားပြီးဖြစ်သည်။

လာမည့် ရက်သတ္တပတ်များအတွင်း ဤအစီအစဉ်ကို ချဲ့ထွင်သွားရန် ကျွန်ုပ်တို့ စီစဉ်ထားပြီး၊ maintainer များ ပိုမိုများပြားစွာက ပိုမိုကောင်းမွန်သော လုံခြုံရေး၊ ပိုမိုခိုင်မာသော review workflow များနှင့် ecosystem အားကိုးထားသော open-source အလုပ်များအတွက် အထောက်အပံ့သို့ တိုက်ရိုက်လမ်းကြောင်း ရရှိစေရန် ဖြစ်သည်။ သင်သည် open-source maintainer တစ်ဦးဖြစ်ပြီး စိတ်ဝင်စားပါက ဆက်သွယ်ပေးပါ⁠။

လာမည့် ရက်အနည်းငယ်အတွင်း ChatGPT Enterprise၊ Business နှင့် Edu ဖောက်သည်များထံ Codex Security access ကို ကျွန်ုပ်တို့ ဖြန့်ချိသွားမည်ဖြစ်သည်။ သင့်အဖွဲ့အတွက် Codex Security ကို မည်သို့ setup လုပ်ရမည်ကို ပိုမိုလေ့လာရန် ကျွန်ုပ်တို့၏ docs⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) ကို ကြည့်ရှုပါ။

Codex Security မှ ရှာဖွေတွေ့ရှိခဲ့သော high impact OSS vulnerabilities ဥပမာများ-

• GnuTLS certtool Heap-Buffer Overflow (Off-by-One) — CVE-2025-32990⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• GnuTLS Heap Buffer Overread in SCT Extension Parsing — CVE-2025-32989⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• GnuTLS Double-Free in otherName SAN Export — CVE-2025-32988⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• 2FA Bypass GOGS — CVE-2025-64175⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• Unauth bypass GOGS — CVE-2026-25242⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• Path traversal (arbitrary write) — download_ephemeral, download_children (agent) — CVE-2025-35430⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• LDAP injection (filters & DN) — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• Unauthenticated DoS & mail abuse — resend_email_verification — CVE-2025-35432⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်) ၊ CVE-2025-35436⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• Password ပြောင်းလဲချိန်တွင် session မပြန်လည်ပြောင်းလဲခြင်း — User::update_user — CVE-2025-35433⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• TLS verification ပိတ်ထားခြင်း — Elasticsearch client — CVE-2025-35434⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• DoS: သုညဖြင့်စားခြင်း — /api/streams/depth/.../{split} — CVE-2025-35435⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• PKDECRYPT --kem=CMS (ECC KEM) မှတစ်ဆင့် gpg-agent stack buffer overflow — CVE-2026-24881⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• Ciphertext length validation မရှိခြင်းကြောင့် RSA နှင့် ECC အတွက် TPM2 PKDECRYPT တွင် stack-based buffer overflow — CVE-2026-24882⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• CMS/PKCS7 AES-GCM ASN.1 params stack buffer overflow — CVE-2025-15467⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)
• PKCS#12 PBMAC1 PBKDF2 keyLength overflow + MAC bypass — CVE-2025-11187⁠(ဝင်းဒိုးအသစ်တွင် ဖွင့်မည်)