AI-Papers
- プロジェクト固有の脅威モデルを構築し、他のAIツールが見逃す複雑な脆弱性をコンテキストに基づいて高精度で検出・修正する
- 直近30日間で120万件超のコミットをスキャンし、792件のクリティカル脆弱性と1万561件の高深刻度問題を特定した
- ノイズ最大84%削減・誤検知率50%以上低下を達成し、ChatGPT Pro/Enterprise/Business/Eduで1ヶ月間無料提供を開始
Codex Securityとは
OpenAIは2026年3月6日、アプリケーションセキュリティ特化のAIエージェント「Codex Security」の研究プレビューを公開しました。かつて「Aardvark」として少数顧客を対象にプライベートベータを行っていたもので、正式名称に改めたうえでの公開となります。
ChatGPT Pro・Enterprise・Business・Eduの各ユーザーには順次展開が始まっており、当初1ヶ月間は無料で利用できます。
従来のAIセキュリティツールが直面してきた課題は、コンテキスト不足による誤検知と、影響の小さい指摘の大量生成でした。セキュリティチームはそのトリアージ（指摘を確認して対応の優先順位を付ける作業）に多くの時間を費やしてきました。Codex Securityはプロジェクト固有の脅威モデルを構築したうえで、実際のリスクとして影響度が高い脆弱性を優先的に報告する設計です。
3段階の動作プロセス
Codex Securityはスキャン時に3つのフェーズで動作します。
- コンテキスト構築と脅威モデル生成: リポジトリを解析し、システムの機能・信頼境界・露出リスクを捉えたプロジェクト固有の脅威モデルを自動生成する。チームが編集して継続的に更新できる
- 脆弱性の発見と検証: 脅威モデルを文脈として脆弱性を探索し、サンドボックス環境で検証する。実環境に近い設定では動作中のシステムで直接検証し、概念実証（PoC）コードも生成できる
- パッチ提案: システムの意図と周辺の動作に沿った修正コードを提案する。既存の挙動に対する回帰リスクを最小化した安全なパッチが得られる
また、ユーザーが指摘の深刻度を調整すると、そのフィードバックが脅威モデルに反映されます。次回のスキャンからはこれを踏まえて精度が継続的に高まる仕組みです。
ベータ期間中の実績と精度改善
研究プレビューへの移行に先立つベータ期間中、OpenAIは定量的な改善を積み重ねてきました。主な成果は次のとおりです。
項目 | 改善幅 |
|---|---|
同一リポジトリへの繰り返しスキャンでのノイズ | 最大84%削減 |
深刻度の過大評価件数 | 90%以上削減 |
誤検知率（全リポジトリ平均） | 50%以上低下 |
ノイズと誤検知の両方が大きく減っており、指摘を確認する側の負担軽減につながる改善といえます。
直近30日間の統計では、外部リポジトリで120万件以上のコミットをスキャンし、792件のクリティカル脆弱性と1万561件の高深刻度の脆弱性を特定しました。クリティカルな問題はスキャン対象のコミット全体の0.1%未満に留まっており、大量のコードを処理しながら本当に重要な問題だけを浮上させる能力を示しています。
内部展開では、SSRF（サーバーサイドリクエストフォージェリ）やクリティカルなクロステナント認証の脆弱性など、実際の問題がセキュリティチームによって数時間以内にパッチ適用されたケースも確認されています。NETGEARのプロダクトセキュリティ責任者は「経験豊富なプロダクトセキュリティ研究者が隣で作業しているような感覚」と評価しています。
オープンソースへの貢献
OpenAIはCodex Securityを使って、自社が依存するオープンソースリポジトリのスキャンも実施しています。OpenSSH・GnuTLS・GOGS・Thorium・libssh・PHP・Chromiumなど広く使われているプロジェクトにクリティカルな脆弱性を報告済みで、14件のCVE（Common Vulnerabilities and Exposures）が付番されました。
オープンソースメンテナーとの対話から明らかになったのは、課題は報告数の不足ではなく品質の低さにあるという点でした。誤検知（偽陽性）の多さとトリアージ負荷がメンテナーを圧迫しているという声を受け、OpenAIは「Codex for OSS」プログラムを始めています。メンテナーには無料のChatGPT Pro・Plusアカウント、コードレビュー支援、Codex Securityへのアクセスが提供されます。
vLLMなどのプロジェクトは、すでにこのプログラムを活用して脆弱性の発見と修正を通常のワークフローに組み込んでいます。AIを悪用した攻撃の高度化が進む中、OpenAIが公開した脅威レポートと合わせて読むと、セキュリティ分野でのAI活用が攻守両面で急速に進んでいることがわかります。
利用開始方法
Codex SecurityはCodex Webインターフェースから利用できます。ChatGPT Enterprise・Business・Edu向けには数日以内に順次展開される予定です。スキャン対象リポジトリを接続し、プロジェクト固有の情報を入力してスキャンを実行すれば、脅威モデルと脆弱性レポートが自動生成されます。
AIがコード生成を加速させる今、セキュリティレビューは開発の流れを滞らせる要因になりつつあります。Codex Securityはその負荷を軽減し、開発チームが影響度の高い問題だけに集中できる環境を目指しています。
