AI-Papers
- プロジェクト固有の脅威モデルを構築し、他のAIツールが見逃す複雑な脆弱性をコンテキストに基づいて高精度で検出・修正する
- 直近30日間で120万件超のコミットをスキャンし、792件のクリティカル脆弱性と1万561件の高深刻度問題を特定した
- ノイズ最大84%削減・誤検知率50%以上低下を達成し、ChatGPT Pro/Enterprise/Business/Eduで1ヶ月間無料提供を開始
Codex Securityとは
OpenAIは2026年3月6日、アプリケーションセキュリティ特化のAIエージェント「Codex Security」の研究プレビューを公開しました。かつて「Aardvark」として少数顧客を対象にプライベートベータを行っていたもので、正式名称に改め、ChatGPT Pro・Enterprise・Business・Eduの各ユーザーに順次展開を開始しています。当初1ヶ月間は無料で利用できます。
従来のAIセキュリティツールが直面してきた課題は、コンテキスト不足による誤検知と低影響な指摘の大量生成でした。セキュリティチームはそのトリアージに多くの時間を費やすことを余儀なくされてきました。Codex Securityはプロジェクト固有の脅威モデルを構築したうえで、実際のリスクとして影響度が高い脆弱性のみを優先的に報告する設計になっています。
3段階の動作プロセス
Codex Securityはスキャン時に3つのフェーズで動作します。
- コンテキスト構築と脅威モデル生成: リポジトリを解析し、システムの機能・信頼境界・露出リスクを捉えたプロジェクト固有の脅威モデルを自動生成する。チームが編集して継続的に更新できる
- 脆弱性の発見と検証: 脅威モデルを文脈として脆弱性を探索し、サンドボックス環境で検証する。実環境に近い設定では動作中のシステムで直接検証し、概念実証（PoC）コードも生成できる
- パッチ提案: システムの意図と周辺の動作に沿った修正コードを提案する。既存の挙動に対する回帰リスクを最小化した安全なパッチが得られる
また、ユーザーが指摘の深刻度を調整するとそのフィードバックを脅威モデルに反映し、次回のスキャンから精度を継続的に高める仕組みも備えています。
ベータ期間中の実績と精度改善
研究プレビューへの移行に先立つベータ期間中、OpenAIは定量的な改善を積み重ねてきました。同一リポジトリへの繰り返しスキャンでノイズを最大84%削減し、深刻度の過大評価件数を90%以上削減、誤検知率を全リポジトリ平均で50%以上低下させています。
直近30日間の統計では、外部リポジトリで120万件以上のコミットをスキャンし、792件のクリティカル脆弱性と1万561件の高深刻度の脆弱性を特定しています。クリティカルな問題はスキャン対象のコミット全体の0.1%未満に留まっており、大量のコードを処理しながら本当に重要な問題のみを浮上させる能力を示しています。
内部展開では、SSRF（サーバーサイドリクエストフォージェリ）やクリティカルなクロステナント認証の脆弱性など、実際の問題がセキュリティチームによって数時間以内にパッチ適用されるケースも確認されています。NETGEARのプロダクトセキュリティ責任者は「経験豊富なプロダクトセキュリティ研究者が隣で作業しているような感覚」と評価しています。
オープンソースへの貢献
OpenAIはCodex Securityを使って、自社が依存するオープンソースリポジトリのスキャンも実施しています。OpenSSH・GnuTLS・GOGS・Thorium・libssh・PHP・Chromiumなど広く使われているプロジェクトにクリティカルな脆弱性を報告済みで、14件のCVE（Common Vulnerabilities and Exposures）が付番されています。
オープンソースメンテナーとの対話から明らかになったのは、課題は報告数の不足ではなく品質の低さにあるという点でした。偽陽性の多さとトリアージ負荷がメンテナーを圧迫しているという声を受け、OpenAIは「Codex for OSS」プログラムを通じてメンテナーに無料のChatGPT Pro・Plusアカウント、コードレビュー支援、Codex Securityへのアクセスを提供しています。vLLMなどのプロジェクトはすでにこのプログラムを活用して脆弱性の発見と修正を通常のワークフローに組み込んでいます。
AIを悪用した攻撃の高度化が進む中、OpenAIが公開した脅威レポートと合わせて読むと、セキュリティ分野でのAI活用が攻守両面で急速に進化していることがわかります。
利用開始方法
Codex SecurityはCodex Webインターフェースから利用できます。ChatGPT Enterprise・Business・Edu向けには数日以内に順次展開される予定です。スキャン対象リポジトリを接続し、プロジェクト固有の情報を入力してスキャンを実行するだけで、脅威モデルと脆弱性レポートが自動生成されます。
AIがコード生成を加速させる今、セキュリティレビューはますます重要なボトルネックになっています。Codex Securityはその負荷を軽減し、開発チームが影響度の高い問題だけに集中できる環境を目指しています。
