Hoje apresentamos o Codex Security, o nosso agente de segurança de aplicações. Cria contexto aprofundado do projeto para identificar vulnerabilidades complexas que outras ferramentas baseadas em agentes não detetam, apresentando constatações de maior confiança com correções que melhoram de forma significativa a segurança do sistema e reduzindo o ruído de bugs insignificantes.
O contexto é essencial para avaliar riscos reais de segurança, mas a maioria das ferramentas de segurança com IA limita-se a sinalizar constatações de baixo impacto e falsos positivos, obrigando as equipas de segurança a despender muito tempo em triagem. Ao mesmo tempo, os agentes estão a acelerar o desenvolvimento de software, tornando a revisão de segurança um gargalo cada vez mais crítico.
O Codex Security responde a ambos os desafios. Ao combinar o raciocínio baseado em agentes dos nossos modelos de fronteira com validação automatizada, apresenta constatações de elevada confiança e correções acionáveis, para que as equipas se possam focar nas vulnerabilidades que importam e entregar código seguro mais rapidamente.
Anteriormente conhecido como Aardvark, o Codex Security começou no ano passado como uma versão beta privada com um pequeno grupo de clientes. Em implementações internas iniciais, revelou um SSRF real, uma vulnerabilidade crítica de autenticação entre tenants e muitos outros problemas que a nossa equipa de segurança corrigiu em poucas horas. As primeiras implementações com testadores externos ajudaram-nos a melhorar a forma como os utilizadores fornecem contexto relevante do produto e passam da configuração inicial para proteger o código. Também melhorámos significativamente a qualidade das nossas constatações ao longo da fase beta: análises aos mesmos repositórios ao longo do tempo mostram uma precisão crescente; num caso, reduzimos o ruído em 84% desde o lançamento inicial. Reduzimos em mais de 90% a taxa de constatações com gravidade sobrestimada, e as taxas de falsos positivos nas deteções caíram mais de 50% em todos os repositórios. Estas melhorias ajudam o Codex Security a alinhar melhor a gravidade reportada com o risco real e a reduzir o esforço de triagem desnecessário para as equipas de segurança, e esperamos que a relação sinal/ruído continue a melhorar com mais investimento.
A partir de hoje, o Codex Security começa a ser disponibilizado aos clientes do ChatGPT Enterprise, Business e Edu através do Codex web, com utilização gratuita durante o próximo mês.
O Codex Security tira partido dos modelos de fronteira da OpenAI e do agente Codex. Pode reduzir o ruído e acelerar a remediação ao basear a descoberta, validação e correção de vulnerabilidades em contexto específico do sistema.
- Construir contexto do sistema e criar um modelo de ameaças editável: Após configurar uma análise, avalia o repositório para compreender a estrutura relevante para a segurança do sistema e gera um modelo de ameaças específico do projeto que capta o que o sistema faz, no que confia e onde está mais exposto. Os modelos de ameaças podem ser editados para manter o agente alinhado com a equipa.
- Priorizar e validar problemas: Usando o modelo de ameaças como contexto, procura vulnerabilidades e categoriza as constatações com base no impacto esperado no mundo real para o sistema. Sempre que possível, põe as constatações à prova em ambientes de validação isolados (sandbox) para distinguir sinal de ruído. Os utilizadores podem ver esta análise nas constatações validadas. Quando o Codex Security é configurado com um ambiente adaptado ao projeto, pode validar potenciais problemas diretamente no contexto do sistema em execução. Essa validação mais profunda pode reduzir ainda mais os falsos positivos e permitir a criação de provas de conceito funcionais, dando às equipas de segurança evidência mais sólida e um caminho mais claro para a remediação.
- Corrigir problemas com todo o contexto do sistema: Por fim, o Codex Security propõe correções para os problemas detetados que se alinham com a intenção do sistema e o comportamento envolvente. Isto permite correções que podem melhorar a segurança enquanto minimizam regressões, tornando-as mais seguras de rever e integrar. Os utilizadores podem filtrar os resultados para se focarem no que mais importa para a sua equipa e no que tem maior impacto na segurança.
O Codex Security também pode aprender com o seu feedback ao longo do tempo para melhorar a qualidade dos seus resultados. Quando ajusta a criticidade de um resultado, o Codex Security pode usar esse feedback para aperfeiçoar o modelo de ameaças e aumentar a precisão em execuções futuras, à medida que aprende o que é importante na sua arquitetura e postura de risco.
Foi concebido para operar à escala e destacar os resultados de maior confiança, com patches fáceis de aprovar. Nos últimos 30 dias, o Codex Security analisou mais de 1,2 milhões de commits em repositórios externos no nosso grupo beta, identificando 792 resultados críticos e 10 561 resultados de gravidade elevada. Os problemas críticos surgiram em menos de 0,1% dos commits analisados, o que mostra que o sistema consegue identificar problemas com impacto na segurança em grandes volumes de código, minimizando o ruído para os revisores.
«Como empresa totalmente focada na segurança de produto, a NETGEAR ficou satisfeita por integrar o programa de acesso antecipado, e os resultados superaram as expectativas. O Codex Security integrou-se sem esforço no nosso robusto ambiente de desenvolvimento seguro, reforçando o ritmo e a profundidade dos nossos processos de revisão. As suas constatações foram impressionantemente claras e abrangentes, muitas vezes dando a sensação de que um investigador experiente de segurança de produto trabalhava lado a lado connosco.»
O software de código aberto constitui a base dos sistemas modernos, incluindo os nossos. Temos vindo a usar o Codex Security para analisar os repositórios de código aberto de que mais dependemos, partilhando com os mantenedores os resultados de segurança de maior impacto que identificamos, para ajudar a reforçar essa base.
Nas nossas conversas com mantenedores, surgiu um tema recorrente: o desafio não é a falta de relatórios de vulnerabilidades, mas sim o excesso de relatórios de baixa qualidade. Os mantenedores disseram-nos que precisam de menos falsos positivos e de uma forma mais sustentável de trazer à tona problemas reais de segurança, sem aumentar a carga de triagem. Estas conversas ajudaram a moldar a forma como estamos a apoiar a comunidade de código aberto com o Codex Security. Em vez de gerar grandes volumes de resultados especulativos, estamos a construir um sistema que dá prioridade a problemas de elevada confiança, sobre os quais os mantenedores podem atuar rapidamente.
No âmbito deste trabalho, reportámos vulnerabilidades críticas a vários projetos open source amplamente utilizados, incluindo OpenSSH(abre numa nova janela), GnuTLS(abre numa nova janela), GOGS(abre numa nova janela), Thorium(abre numa nova janela) libssh, PHP e Chromium, entre outros. Foram atribuídos 14 CVEs, incluindo dois casos com reporte duplo — partilhámos alguns exemplos no Apêndice.
Recentemente, começámos a integrar um grupo inicial de mantenedores de código aberto no Codex for OSS, o nosso programa para apoiar o ecossistema com contas ChatGPT Pro e Plus gratuitas, revisão de código e Codex Security. Projetos como o vLLM já usaram o Codex Security para encontrar issues e corrigi-las como parte do seu fluxo de trabalho normal.
Planeamos expandir o programa nas próximas semanas, para que mais mantenedores tenham um caminho direto para uma segurança melhor, fluxos de revisão mais robustos e apoio ao trabalho de código aberto de que o ecossistema depende. Se é mantenedor de código aberto e tem interesse, contacte-nos.
Nos próximos dias, vamos disponibilizar o acesso ao Codex Security aos clientes do ChatGPT Enterprise, Business e Edu. Consulte a nossa documentação(abre numa nova janela) para saber mais sobre como configurar o Codex Security para a sua equipa.
- Transbordamento de buffer no heap (off-by-one) no certtool do GnuTLS — CVE-2025-32990(abre numa nova janela)
- Leitura fora de limites do buffer no heap no parsing da extensão SCT do GnuTLS — CVE-2025-32989(abre numa nova janela)
- Libertação dupla (double-free) na exportação de otherName SAN do GnuTLS — CVE-2025-32988(abre numa nova janela)
- Bypass de 2FA no GOGS — CVE-2025-64175(abre numa nova janela)
- Bypass sem autenticação no GOGS — CVE-2026-25242(abre numa nova janela)
- Path traversal (escrita arbitrária) — download_ephemeral, download_children (agent) — CVE-2025-35430(abre numa nova janela)
- Injeção LDAP (filtros e DN) — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431(abre numa nova janela)
- DoS sem autenticação e abuso de email — resend_email_verification — CVE-2025-35432(abre numa nova janela), CVE-2025-35436(abre numa nova janela)
- Sessão não renovada na mudança de palavra-passe — User::update_user — CVE-2025-35433(abre numa nova janela)
- Verificação TLS desativada — cliente Elasticsearch — CVE-2025-35434(abre numa nova janela)
- DoS: divisão por zero — /api/streams/depth/.../{split} — CVE-2025-35435(abre numa nova janela)
- Transbordamento de buffer na pilha no gpg-agent via PKDECRYPT --kem=CMS (ECC KEM) — CVE-2026-24881(abre numa nova janela)
- Transbordamento de buffer baseado na pilha no TPM2 PKDECRYPT para RSA e ECC devido à falta de validação do comprimento do ciphertext — CVE-2026-24882(abre numa nova janela)
- Transbordamento de buffer na pilha nos parâmetros ASN.1 do AES-GCM em CMS/PKCS7 — CVE-2025-15467(abre numa nova janela)
- Transbordamento de keyLength em PBMAC1 PBKDF2 do PKCS#12 + bypass de MAC — CVE-2025-11187(abre numa nova janela)
Continuar a ler
