OpenAI lance Codex Security : un agent IA qui trouve, valide et corrige les failles de code

OpenAI a officiellement lancé Codex Security, un agent de sécurité applicative propulsé par l'intelligence artificielle, conçu pour découvrir, valider et corriger automatiquement les vulnérabilités dans les bases de code entreprise et open source. L'outil est désormais disponible en aperçu de recherche pour les clients ChatGPT Enterprise, Business et Edu.

Points clés

• Codex Security est né de Aardvark, un outil de sécurité interne développé par OpenAI pour auditer sa propre base de code
• Durant la phase bêta, l'agent a analysé 1,2 million de commits, découvrant 792 failles critiques et 10 561 problèmes de haute sévérité
• Le taux de faux positifs a été réduit de plus de 50 % par rapport aux outils d'analyse statique traditionnels
• OpenAI a découvert et signalé 14 CVE officiels dans des projets open source majeurs dont OpenSSH, GnuTLS et PHP

Comment ça fonctionne

Codex Security adopte une approche fondamentalement différente des outils d'analyse statique conventionnels. Lorsqu'un développeur accorde l'accès à son dépôt de code, l'agent crée une copie isolée temporaire et effectue une analyse approfondie pour générer un modèle de menaces spécifique au projet — un document détaillé en langage naturel décrivant le fonctionnement de l'application et les zones potentiellement vulnérables.

Les développeurs peuvent personnaliser ce modèle de menaces pour prioriser les composants sensibles. L'agent analyse ensuite la base de code à l'aide de ce modèle contextuel, teste les vulnérabilités découvertes dans un environnement sandbox isolé pour déterminer leur exploitabilité, et filtre les faux positifs tout en classant les problèmes réels par sévérité.

Pour chaque vulnérabilité confirmée, Codex Security fournit le code correctif accompagné d'explications en langage naturel, permettant aux développeurs de réviser et déployer les correctifs en un seul clic.

Impact sur la sécurité open source

L'aspect le plus significatif de ce lancement est l'engagement d'OpenAI envers la sécurité open source. L'entreprise a analysé des dépôts majeurs et divulgué les vulnérabilités de manière responsable, aboutissant à l'attribution de 14 CVE dans des projets d'infrastructure critique utilisés quotidiennement par des millions de développeurs.

OpenAI a également lancé un programme d'accès gratuit pour les mainteneurs de projets open source, leur permettant d'utiliser Codex Security pour auditer leurs bases de code sans frais.

Disponibilité et tarification

Codex Security est disponible dès aujourd'hui en aperçu de recherche via Codex sur le web pour les niveaux ChatGPT Enterprise, Business et Edu. OpenAI offre une utilisation gratuite pendant le premier mois à tous les clients éligibles.

Et après ?

Ce lancement intervient seulement deux semaines après qu'Anthropic ait introduit son propre outil Claude Code Security, signalant une course intensifiée entre les entreprises d'IA pour dominer le domaine de la sécurité applicative. À mesure que les agents de sécurité alimentés par l'IA gagnent en capacité, le modèle traditionnel de revue manuelle de code et d'outils d'analyse statique bruyants pourrait bientôt devenir obsolète.

Source : OpenAI