Codex Securityは、OpenAIが提供するアプリケーションセキュリティ向けAIエージェントです。
旧称Aardvarkとして開発され、2026年3月にCodex Securityの研究プレビューが発表されました。
コードを読み、脆弱性の探索、検証、修正案の作成を支援します。
GitHubリポジトリへ接続すると、攻撃者の入口や権限境界、機密データの扱いなどを踏まえてプロジェクト固有の脅威モデルを作ります。
コード全体のスキャンと、コミット単位のスキャンを選べるため、既存の問題を調べる用途と、変更の影響を確認する用途で利用できます。
疑わしい箇所は隔離環境で再現を試み、検証の詳細と修正パッチを提示します。
単に指摘件数を増やすのではなく、実際のシステムで問題になるかを調べ、人間が対応を決めるための情報をそろえる設計です。
公式ヘルプでは、ChatGPT Pro、Business、Enterprise、Edu向けの研究プレビューとして案内されています。
Codex Security Cloudはトークン課金で、有料利用には通知とオプトインが必要です。
発表当初の期間限定無料提供を、現在も続く条件として扱わない点に注意が必要です。
利用を始めるにはCodex SecurityでGitHubへ接続し、調査対象のリポジトリを有効にします。
その後、全体スキャンまたはコミットスキャンを選び、結果の作成を待ちます。
初回はプロジェクトの理解と既存の脆弱性調査を行うため、大規模なリポジトリでは時間がかかる場合があります。
変更後のコードを調べるスキャンとは、対象範囲と処理時間が異なります。
導入時は少数のリポジトリと専任のレビュー担当者から始める方法が公式に推奨されています。
結果の確認や修正の取り込みまで含めて試し、チームで運用できるか判断できます。
脅威モデルには、攻撃者が触れられる入口、信頼する領域としない領域の境界、機密情報、重要なコード経路などが整理されます。
利用者は内容を閲覧し、実際の配備環境に合わせて編集できます。
同じコードでも、外部公開するか、社内だけで使うか、どの権限を持つ利用者が操作するかによってリスクは変わります。
脅威モデルへそうした前提を反映すると、プロジェクトの事情に沿って指摘を評価しやすくなります。
公式発表では、指摘の重要度についてのフィードバックを、その後の分析精度や脅威モデルの改善に活用する仕組みも説明されています。
脆弱性の候補を見つけた後、隔離された環境で再現を試み、実際に問題が成立するかを調べます。
利用者は検証の詳細を読み、理論上の懸念なのか、修正すべき問題なのかを判断する材料を得られます。
プロジェクトに合った環境を用意すると、稼働するシステムの文脈で深い検証を行える場合があります。
コードの指摘だけで判断せず、再現条件や必要な権限を確認する作業に利用できます。
すべての問題を必ず再現できるものではありません。
依存サービスや環境設定が必要な場合もあるため、スキャン結果と実際の本番構成を照合して評価します。
検証した問題に対し、周辺のコードやシステムの意図を踏まえた修正案を提示します。
人間がパッチを確認し、プルリクエストへつなげて既存の開発手順で採用を判断できます。
Codex Securityが自動的に本番コードを変更するわけではありません。
修正後も既存の動作が維持されるか、別の不具合が生じないかをテストし、通常のレビューで確認する必要があります。
公式ヘルプでは、生成された修正PRにもCodex Code Reviewを使うことが推奨されています。
脆弱性をふさぐ修正と、アプリケーション全体の品質確認を組み合わせられます。
対象のChatGPTプランでも、組織ワークスペースでは管理者によるアクセス設定が必要な場合があります。
公式ヘルプではEnterprise・Eduの権限管理と、Codex CloudおよびCodex Securityへのアクセスを有効にする条件が案内されています。
Cloudの有料スキャンはトークンベースの課金です。
利用可能な資金がない場合はスキャンが停止すると説明されており、契約プランだけで無制限に調査できるサービスではありません。
開始前に、接続するリポジトリ、レビュー担当者、アクセス権、支払い条件を確認すると、試用と継続運用の範囲を決めやすくなります。
GitHubでアプリケーションを開発する人、脆弱性の検証と修正に取り組むセキュリティチーム、コードレビューへAIによる調査を加えたい開発責任者に向いています。
自分のアプリの認証、権限、入力処理などを継続的に見直したい場合に検討できます。
コードの読解、実行環境の準備、生成パッチのテストができる体制が前提です。
日本語UIや日本語レポートの提供範囲は、今回確認した公式資料だけでは確定できません。
一般ユーザーのスマートフォンを常時保護するアプリとは用途が異なります。
脆弱性らしい指摘を受けても、再現できるのか、どれから対応すべきか、どう修正するかを調べる作業には時間がかかります。
Codex Securityはプロジェクトの理解から検証、修正案の作成までをつなぎ、開発者が判断するための根拠をまとめます。
人間のレビューを残しながら、調査の初動とパッチ作成の負担を減らす使い方ができます。
スキャンが完了したこと自体を安全の証明とせず、通常のテストや既存のセキュリティ確認と組み合わせる運用が適しています。
ツールのウェブサイトにアクセスして使ってみよう！
.png){kind=logo}
レビューと評価