OpenAI最近推出了名为"Codex Security"的新工具，旨在帮助开发者发现并修复软件漏洞。该工具作为现有Codex编程助手的补充功能，其发布时机正值竞争对手Anthropic于两周前推出类似产品之际。Codex Security通过扫描代码仓库来识别问题，并提供修复方案。
当开发者授予该工具访问目标代码仓库的权限后，其工作流程随即启动。Codex Security会在隔离容器中创建仓库的临时副本，并在此环境中分析代码文件。整个分析过程可能持续数日。
分析结果将以"威胁模型"文档形式呈现，该文档使用自然语言详细阐述程序运行机制及潜在脆弱环节。威胁模型特别包含了易受网络攻击的用户界面元素信息。开发者还可根据需求定制威胁模型，Codex Security将基于定制模型执行漏洞扫描。
Codex Security会在"沙箱"环境中对已发现漏洞进行深度测试，以验证其实际可被利用性。通过过滤误报，系统将按漏洞严重程度划分优先级。分析过程中未能通过的漏洞会被记录在日志中，方便开发者后续排查误判案例。
针对每个漏洞，Codex Security不仅会提供具体的修复代码建议，同时附有自然语言说明。开发者可审查修复方案，并通过单次点击将代码部署至生产环境。
该工具最初源于OpenAI内部工具Aardvark，曾用于分析其自身代码库。去年通过测试版计划向有限客户开放，在此期间将误报率降低了50%以上。早期使用者借助该工具发现了超过11,000个关键漏洞。
目前该工具以研究预览版形式向ChatGPT企业版、商业版及教育版用户提供，同时设有面向开源项目维护者的免费使用计划。
