Hoje apresentamos o Codex Security, nosso agente de segurança de aplicações. Ele constrói um contexto profundo sobre o seu projeto para identificar vulnerabilidades complexas que outras ferramentas com agentes deixam passar, trazendo achados de maior confiança com correções que melhoram de forma significativa a segurança do seu sistema, sem o ruído de bugs insignificantes.
Contexto é essencial para avaliar riscos de segurança reais, mas a maioria das ferramentas de segurança com IA simplesmente sinaliza achados de baixo impacto e falsos positivos, forçando equipes de segurança a gastar muito tempo em triagem. Ao mesmo tempo, agentes estão acelerando o desenvolvimento de software, tornando a revisão de segurança um gargalo cada vez mais crítico.
O Codex Security aborda os dois desafios. Ao combinar raciocínio com agentes dos nossos modelos de fronteira com validação automatizada, ele entrega achados de alta confiança e correções acionáveis para que as equipes possam se concentrar nas vulnerabilidades que importam e entregar código seguro mais rápido.
Antes conhecido como Aardvark, o Codex Security começou no ano passado como uma beta privada com um pequeno grupo de clientes. Nas primeiras implantações internas, ele revelou um SSRF real, uma vulnerabilidade crítica de autenticação entre tenants e muitos outros problemas que nossa equipe de segurança corrigiu em poucas horas. As primeiras implantações com testadores externos nos ajudaram a melhorar a forma como usuários fornecem contexto relevante do produto e passam do onboarding para proteger seu código. Também melhoramos significativamente a qualidade dos nossos achados ao longo da beta: varreduras nos mesmos repositórios ao longo do tempo mostram aumento de precisão; em um caso, reduzimos o ruído em 84% desde o lançamento inicial. Reduzimos em mais de 90% a taxa de achados com severidade superestimada, e as taxas de falsos positivos nas detecções caíram mais de 50% em todos os repositórios. Essas melhorias ajudam o Codex Security a alinhar melhor a severidade reportada ao risco do mundo real e a reduzir a carga desnecessária de triagem para equipes de segurança, e esperamos que a relação sinal-ruído continue melhorando com mais investimento.
A partir de hoje, o Codex Security começa a ser disponibilizado para clientes ChatGPT Enterprise, Business e Edu via Codex web, com uso gratuito por um mês.
O Codex Security utiliza os modelos de fronteira da OpenAI e o agente do Codex. Ele pode reduzir o ruído e acelerar a remediação ao ancorar a descoberta, validação e correção de vulnerabilidades em contexto específico do sistema.
- Construa o contexto do sistema e crie um modelo de ameaças editável: após configurar uma varredura, ele analisa seu repositório para entender a estrutura do sistema relevante para segurança e gera um modelo de ameaças específico do projeto, que pode capturar o que o sistema faz, no que ele confia e onde está mais exposto. Modelos de ameaças podem ser editados para manter o agente alinhado com sua equipe.
- Priorize e valide problemas: usando o modelo de ameaças como contexto, ele busca vulnerabilidades e categoriza achados com base no impacto esperado no mundo real no seu sistema. Quando possível, ele coloca os achados à prova em ambientes de validação isolados (sandbox) para separar sinal de ruído. Usuários podem ver essa análise nos achados validados. Quando o Codex Security é configurado com um ambiente adaptado ao seu projeto, ele pode validar possíveis problemas diretamente no contexto do sistema em execução. Essa validação mais profunda pode reduzir ainda mais os falsos positivos e permitir a criação de provas de conceito funcionais, dando às equipes de segurança evidências mais fortes e um caminho mais claro para a remediação.
- Aplique patches com contexto completo do sistema: por fim, o Codex Security propõe correções para os problemas encontrados que se alinham à intenção do sistema e ao comportamento ao redor. Isso permite patches que podem melhorar a segurança enquanto minimizam regressões, tornando-os mais seguros de revisar e integrar. Usuários podem filtrar os achados para manter o foco no que é mais importante para sua equipe e tem maior impacto de segurança.
O Codex Security também pode aprender com seu feedback ao longo do tempo para melhorar a qualidade dos achados. Quando você ajusta a criticidade de um achado, ele pode usar esse feedback para refinar o modelo de ameaças e melhorar a precisão em execuções subsequentes, à medida que aprende o que importa para sua arquitetura e postura de risco.
Ele foi projetado para operar em escala e revelar os achados de maior confiança com patches fáceis de adotar. Nos últimos 30 dias, o Codex Security fez varredura em mais de 1,2 milhão de commits em repositórios externos da nossa coorte beta, identificando 792 achados críticos e 10.561 achados de alta severidade. Problemas críticos apareceram em menos de 0,1% dos commits analisados, mostrando que o sistema consegue identificar problemas que impactam a segurança em grandes volumes de código, minimizando o ruído para revisores.
"Como uma empresa com foco total em segurança de produto, a NETGEAR ficou feliz em participar do programa de acesso antecipado, e os resultados superaram as expectativas. O Codex Security se integrou sem esforço ao nosso robusto ambiente de desenvolvimento com foco em segurança, reforçando o ritmo e a profundidade dos nossos processos de revisão. Seus achados foram impressionantemente claros e abrangentes, muitas vezes dando a sensação de que um pesquisador experiente em segurança de produto estava trabalhando ao nosso lado."
O software open source forma a base dos sistemas modernos, inclusive dos nossos. Temos usado o Codex Security para fazer varreduras nos repositórios open source dos quais mais dependemos, compartilhando com mantenedores os achados de segurança de alto impacto que identificamos para ajudar a fortalecer essa base.
Nas nossas conversas com mantenedores, um tema recorrente surgiu: o desafio não é a falta de relatórios de vulnerabilidade, e sim o excesso de relatórios de baixa qualidade. Mantenedores nos disseram que precisam de menos falsos positivos e de uma forma mais sustentável de revelar problemas reais de segurança sem criar uma carga adicional de triagem. Essas conversas ajudaram a moldar como estamos apoiando a comunidade open source com o Codex Security. Em vez de gerar grandes volumes de achados especulativos, estamos construindo um sistema que prioriza achados de alta confiança, que mantenedores podem resolver rapidamente.
Como parte desse trabalho, reportamos vulnerabilidades críticas a diversos projetos open source amplamente usados, incluindo OpenSSH(abre em uma nova janela), GnuTLS(abre em uma nova janela), GOGS(abre em uma nova janela), Thorium(abre em uma nova janela) libssh, PHP e Chromium, entre outros. Quatorze CVEs foram atribuídos, com reporte duplo em dois — compartilhamos alguns exemplos no Apêndice.
Recentemente, começamos a integrar uma coorte inicial de mantenedores de open source ao Codex for OSS, nosso programa para apoiar o ecossistema com contas gratuitas do ChatGPT Pro e Plus, code review e Codex Security. Projetos como o vLLM já usaram o Codex Security para encontrar e corrigir problemas como parte do seu fluxo de trabalho normal.
Planejamos ampliar o programa nas próximas semanas para que mais mantenedores tenham um caminho direto para mais segurança, fluxos de trabalho de revisão mais robustos e suporte ao trabalho open source do qual o ecossistema depende. Se você é um mantenedor de open source e tem interesse, entre em contato.
Nos próximos dias, vamos disponibilizar o acesso ao Codex Security para clientes do ChatGPT Enterprise, Business e Edu. Confira nossa documentação(abre em uma nova janela) para saber mais sobre como configurar o Codex Security para sua equipe.
- Estouro de buffer de heap no certtool do GnuTLS (off-by-one) — CVE-2025-32990(abre em uma nova janela)
- Leitura além dos limites do buffer de heap no parsing da extensão SCT no GnuTLS — CVE-2025-32989(abre em uma nova janela)
- Double-free no GnuTLS na exportação de otherName SAN — CVE-2025-32988(abre em uma nova janela)
- Bypass de 2FA no GOGS — CVE-2025-64175(abre em uma nova janela)
- Bypass sem autenticação no GOGS — CVE-2026-25242(abre em uma nova janela)
- Path traversal (escrita arbitrária) — download_ephemeral, download_children (agent) — CVE-2025-35430(abre em uma nova janela)
- Injeção LDAP (filters & DN) — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431(abre em uma nova janela)
- DoS não autenticado e abuso de e-mail — resend_email_verification — CVE-2025-35432(abre em uma nova janela) , CVE-2025-35436(abre em uma nova janela)
- Sessão não rotacionada na troca de senha — User::update_user — CVE-2025-35433(abre em uma nova janela)
- Verificação de TLS desativada — cliente Elasticsearch — CVE-2025-35434(abre em uma nova janela)
- DoS: divisão por zero — /api/streams/depth/.../{split} — CVE-2025-35435(abre em uma nova janela)
- Estouro de buffer de pilha no gpg-agent via PKDECRYPT --kem=CMS (ECC KEM) — CVE-2026-24881(abre em uma nova janela)
- Estouro de buffer baseado em pilha no TPM2 PKDECRYPT para RSA e ECC devido à falta de validação do comprimento do ciphertext — CVE-2026-24882(abre em uma nova janela)
- Estouro de buffer de pilha nos parâmetros ASN.1 de AES-GCM em CMS/PKCS7 — CVE-2025-15467(abre em uma nova janela)
- Overflow de keyLength no PBKDF2 do PBMAC1 em PKCS#12 + bypass de MAC — CVE-2025-11187(abre em uma nova janela)
Continuar lendo
