OpenAI、Codex Securityを公開-脆弱性検出から検証、修正案提示まで担うアプリケーションセキュリティエージェント|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月13日更新日時: 2026年03月13日

OpenAIは2026年3月6日、アプリケーションセキュリティエージェント Codex Security を研究プレビュー版として公開しました。OpenAIによると、Codex Securityはプロジェクトの構造や動作を深く理解し、他のエージェント型ツールでは見逃されがちな複雑な脆弱性を特定することを狙った製品です。不要なアラートを減らしながら、信頼性の高い検出結果と修正案を提示し、セキュリティチームが本当に重要な問題に集中できるよう支援するとしています。

今回の発表は、AIがコード生成だけでなく、セキュリティレビューと脆弱性修正の実務にも本格的に入り始めたことを示す内容です。OpenAIは、ソフトウェア開発の速度がエージェント普及で加速する一方、セキュリティレビューがボトルネックになりつつあると説明しており、Codex Securityはその課題に対応するための製品として位置づけられています。

1 何ができるのか
2 検出精度の改善実績
3 提供対象
4 オープンソース支援も打ち出す

何ができるのか

OpenAIの説明では、Codex Securityは三つの流れで動作します。第一に、リポジトリを解析してシステム固有のコンテキストを把握し、機能、信頼関係、攻撃面を整理した編集可能な脅威モデルを生成します。第二に、その脅威モデルをもとに脆弱性を探索し、実際の影響度を踏まえて優先順位を付けます。可能な場合には、サンドボックス化された検証環境で検出結果を検証し、誤検知を減らす仕組みも備えています。第三に、検出された問題に対して、システム全体の設計意図や既存挙動と整合するパッチ案を提示します。

この構成を見ると、単なる静的解析ツールやコードレビュー支援ツールではなく、脅威モデル作成、検証、修正提案までを一連のワークフローとしてつなぐことが特徴です。特に、システム固有の文脈を踏まえて重大度を調整し、検出結果の品質を継続的に改善できるとされている点は、従来の大量アラート型ツールとの差別化ポイントになっています。

検出精度の改善実績

OpenAIは、Codex Securityが以前は Aardvark と呼ばれ、少数顧客向けのプライベートベータとして提供されていたと説明しています。社内導入では、実際のSSRFや重大なクロステナント認証脆弱性を含む問題を検出し、OpenAIのセキュリティチームは数時間以内に修正したとしています。また、同じリポジトリを継続スキャンした結果、あるケースでは不要なアラートを84％削減し、重大度の過大評価を90％以上削減、誤検知率も50％以上低下したと公表しています。

さらに、OpenAIは直近30日間で、ベータ参加中の外部リポジトリ全体で120万件以上のコミットをスキャンし、クリティカル792件、高重大度10,561件の検出結果を見つけたと説明しています。一方で、重大な問題が確認されたのはスキャンしたコミットの0.1％未満だったとしており、大量のコードの中から本当に重要な問題を絞り込み、レビュー時のノイズを抑えることを強調しています。

提供対象

OpenAIによると、Codex Securityは本日からCodex Web経由で、ChatGPT Enterprise、Business、Eduの顧客に順次提供されます。最初の1か月間は無料で利用できると案内されています。今後数日以内にアクセスが順次有効化され、チームでの設定方法は開発者向けドキュメントで案内するとしています。

このため、現時点では一般消費者向けの広範な公開ではなく、法人・教育機関向けの上位プラン利用者を対象とした段階的提供です。セキュリティ製品としての位置づけを考えても、まずは既存の業務利用環境へ組み込む形で広げようとしていることが分かります。

オープンソース支援も打ち出す

OpenAIは、Codex Securityを使って依存度の高いオープンソースリポジトリをスキャンし、影響の大きいセキュリティ問題をメンテナーへ共有してきたとしています。記事中では、OpenSSH、GnuTLS、GOGS、Thorium、libssh、PHP、Chromiumなどに対して重大な脆弱性を報告したと説明されており、これまでに14件のCVEが割り当てられ、そのうち2件は共同報告だったとしています。

また、OpenAIは Codex for OSS という枠組みを通じて、オープンソースメンテナーへChatGPT ProとChatGPT Plusの無料アカウント、コードレビュー、Codex Securityを提供しているとも説明しています。OpenAIは、メンテナーが求めているのは大量の低品質レポートではなく、追加トリアージ負担を増やさない高確度の問題検出だという認識を示しており、精度重視でエコシステム支援を進める姿勢を打ち出しています

出典

Codex Security が研究プレビュー版として利用可能に