📢 转载信息
原文链接：https://openai.com/index/codex-security-now-in-research-preview
原文作者：OpenAI
今天，我们正式推出 Codex Security，这是一款应用程序安全代理。它能够深入了解您的项目，识别其他代理工具可能遗漏的复杂漏洞，并提供高置信度的发现和修复建议，从而切实提高您系统的安全性，同时避免您被无关紧要的 Bug 所干扰。
在评估实际安全风险时，上下文至关重要，但大多数 AI 安全工具仅仅标记低影响的发现和误报，迫使安全团队花费大量时间进行分类。与此同时，代理正在加速软件开发，使得安全审查成为日益关键的瓶颈。Codex Security 旨在同时解决这两个挑战。通过将我们前沿模型的代理推理与自动化验证相结合，它能够提供高置信度的发现和可操作的修复方案，使团队能够专注于重要的漏洞，并更快地发布安全的代码。
Codex Security（原名 Aardvark）于去年开始，与一小部分客户进行私有 Beta 测试。在早期的内部部署中，它发现了一个真实的 SSRF 漏洞、一个关键的跨租户认证漏洞，以及许多其他问题，我们的安全团队在数小时内就进行了修复。与外部测试人员的早期合作帮助我们改进了用户提供相关产品上下文的方式，并实现了从入门到保障代码安全的转变。在 Beta 测试期间，我们还显著提高了发现结果的质量：对同一存储库进行的时间序列扫描显示了更高的精确度，在一个案例中，自初始部署以来，噪音减少了 84%。我们已经将关于严重性过度报告的发现率降低了 90% 以上，并且在所有存储库中，检测到的误报率下降了 50% 以上。这些改进有助于 Codex Security 更好地将报告的严重性与现实世界的风险相匹配，并减轻安全团队不必要的分类负担，我们预计信号与噪音的比率将继续提高。
从今天开始，Codex Security 将通过 Codex Web 研究预览版向 ChatGPT Pro、Enterprise、Business 和 Edu 客户推出，并在接下来的一个月内免费使用。
如何使用 Codex Security
Codex Security 利用 OpenAI 的前沿模型和 Codex 代理。通过将漏洞发现、验证和修复与系统特定上下文相关联，它可以减少噪音并加速修复过程。
- 构建系统上下文并创建可编辑的威胁模型：配置扫描后，它会分析您的存储库，以了解系统的安全相关结构，并生成项目特定的威胁模型，该模型可以捕获系统的功能、它所信任的内容以及它最容易暴露的地方。威胁模型可以进行编辑，以使代理与您的团队保持一致。
- 优先处理和验证问题：利用威胁模型作为上下文，它会搜索漏洞，并根据在您的系统中预期的实际影响对发现进行分类。在可能的情况下，它会在沙盒验证环境中对发现进行压力测试，以区分信号和噪音。用户可以在已验证的发现中看到此分析。当 Codex Security 配置为适合您项目的环境时，它可以直接在运行系统的上下文中验证潜在问题。这种更深入的验证可以进一步减少误报，并能够创建有效的概念验证，为安全团队提供更有力的证据和更清晰的修复路径。
- 利用完整的系统上下文修复问题：最后，Codex Security 会针对已发现的问题提出修复建议，这些建议符合系统意图和周围行为。这使得能够进行改进安全性同时最小化回归的补丁，使其更安全地进行审查和合并。用户可以过滤发现结果，以便他们专注于对团队最重要、安全影响最大的内容。
Codex Security 还可以随着时间的推移从您的反馈中学习，以提高其发现结果的质量。当您调整发现的关键性时，它可以利用这些反馈来改进威胁模型，并在后续运行中提高精确度，因为它会学习到您架构和风险状况中重要的内容。
它的设计目的是大规模运行，并提供最高置信度的发现和易于接受的补丁。在过去的 30 天里，Codex Security 在我们的 Beta 客户的外部存储库中扫描了超过 120 万次提交，识别出 792 项关键发现和 10,561 项高严重性发现。关键问题出现在不到 0.1% 的扫描提交中，这表明该系统可以在大量代码中识别影响安全的漏洞，同时最大限度地减少对审阅者的干扰。
“作为一家高度专注于产品安全的公司，NETGEAR 很荣幸能加入早期访问计划，其结果超出了预期。Codex Security 无缝集成到我们强大的安全开发环境中，增强了我们审查流程的速度和深度。其发现结果非常清晰且全面，常常给人一种经验丰富的产品安全研究员在我们身边工作的感觉。”
支持开源社区
开源软件是我们自己以及现代系统的基础。我们一直使用 Codex Security 来扫描我们最依赖的开源存储库，并与维护者分享我们识别出的高影响安全发现，以帮助加强这一基础。
在我们与维护者的交流中，一个持续存在的主题是挑战不在于缺乏漏洞报告，而是低质量报告过多。维护者告诉我们，他们需要更少的误报，以及一种更可持续的方式来呈现真实的安全问题，而不会增加额外的分类负担。这些对话帮助塑造了我们如何通过 Codex Security 来支持开源社区。我们没有生成大量推测性的发现，而是构建了一个优先处理维护者可以快速采取行动的高置信度问题的系统。
作为这项工作的一部分，我们向包括 OpenSSH（在新窗口中打开）、GnuTLS（在新窗口中打开）、GOGS（在新窗口中打开）、Thorium（在新窗口中打开） libssh、PHP 和 Chromium 等在内的多个广泛使用的开源项目报告了关键漏洞，等等。已分配十四个 CVE 编号，其中两个是双重报告 — 我们在附录中分享了一些示例。
我们最近开始将首批开源维护者纳入 Codex for OSS，这是我们通过免费的 ChatGPT Pro 和 Plus 账户、代码审查以及 Codex Security 来支持生态系统的计划。vLLM 等项目已经在使用 Codex Security 作为其正常工作流程的一部分来发现和修复问题。
我们计划在未来几周内扩展该计划，以便更多的维护者能够获得更好的安全性、更强大的审查工作流程，并获得生态系统赖以生存的开源工作的支持。如果您是开源维护者并对此感兴趣，请联系我们。
开始使用
我们将在未来几天内向 ChatGPT Enterprise、Business 和 Edu 客户推出 Codex Security 访问权限。请查看我们的文档（在新窗口中打开），了解有关为您的团队设置 Codex Security 的更多信息。
附录
Codex Security 发现的高影响 OSS 漏洞示例：
- GnuTLS certtool 堆缓冲区溢出（差一错误） — CVE-2025-32990（在新窗口中打开）
- GnuTLS 在 SCT 扩展解析中的堆缓冲区读取溢出 — CVE-2025-32989（在新窗口中打开）
- GnuTLS 在 otherName SAN 导出中的双重释放 — CVE-2025-32988（在新窗口中打开）
- 2FA 绕过 GOGS — CVE-2025-64175（在新窗口中打开）
- 未授权绕过 GOGS — CVE-2026-25242（在新窗口中打开）
- 路径遍历（任意写入） — download_ephemeral, download_children (代理) — CVE-2025-35430（在新窗口中打开）
- LDAP 注入（过滤器和 DN） — LdapUserMap::new / get_unix_info / basic_auth_ldap — CVE-2025-35431（在新窗口中打开）
- 未授权 DoS 和邮件滥用 — resend_email_verification — CVE-2025-35432（在新窗口中打开）, CVE-2025-35436（在新窗口中打开）
- 密码更改时会话未轮换 — User::update_user — CVE-2025-35433（在新窗口中打开）
- 禁用 TLS 验证 — Elasticsearch 客户端 — CVE-2025-35434（在新窗口中打开）
- DoS：零除法 — /api/streams/depth/.../{split} — CVE-2025-35435（在新窗口中打开）
- 通过 PKDECRYPT --kem=CMS (ECC KEM) 的 gpg-agent 堆栈缓冲区溢出 — CVE-2026-24881（在新窗口中打开）
- 由于缺少密文长度验证，TPM2 PKDECRYPT 在 RSA 和 ECC 中的基于堆栈的缓冲区溢出 — CVE-2026-24882（在新窗口中打开）
- CMS/PKCS7 AES-GCM ASN.1 参数堆栈缓冲区溢出 — CVE-2025-15467（在新窗口中打开）
- PKCS#12 PBMAC1 PBKDF2 keyLength 溢出 + MAC 绕过 — CVE-2025-11187（在新窗口中打开）
🚀 想要体验更好更全面的AI调用？
欢迎使用青云聚合API，约为官网价格的十分之一，支持300+全球最新模型，以及全球各种生图生视频模型，无需翻墙高速稳定，文档丰富，小白也可以简单操作。
评论区