OpenAI åpner Codex Security som CLI for sårbarhetsjakt

OpenAI har åpnet Codex Security som CLI og TypeScript-SDK. Verktøyet ligger offentlig på GitHub under Apache 2.0-lisens og er laget for å finne, validere og følge opp sikkerhetsfunn i kode virksomheten eier eller har eksplisitt lov til å teste.

Det er en konkret produktnyhet, men den peker på en større endring: AI-basert sårbarhetsjakt flyttes fra research-demoer og lukkede piloter til utviklernes vanlige arbeidsflate. Når et sikkerhetsverktøy kan installeres med npm, kjøres i terminalen og kobles til CI/CD, blir det en del av software supply chain. Da må både utviklingsledere og sikkerhetsledere behandle det som produksjonsverktøy, ikke som en smart assistent ved siden av.

GitHub-repoet beskriver støtte for macOS, Linux og Windows. CLI-et krever Node.js 22 eller nyere, og Python 3.10 eller nyere for skanning og eksport av funn. Det kan skanne enkeltrepoer, kjøre bulk-scan mot GitHub-repoer, eksportere SARIF, sammenligne funn mellom kjøringer, validere kandidatfunn og kjøre patch-arbeidsflyter. Det kan også installere en Git-hook som stopper commits ved alvorlige funn eller feilede skanninger.

Det er akkurat der styringsspørsmålet kommer. Et verktøy som finner sårbarheter er nyttig. Et verktøy som også produserer detaljerte funn, reproduksjonstrinn og kildeutdrag kan samtidig skape nye data- og tilgangsrisikoer hvis det brukes feil. OpenAI advarer selv om at scan-artefakter kan inneholde kildekode, sårbarhetsdetaljer og reproduksjonssteg, og at de må holdes utenfor repoer, offentlige issues og delte mapper.

Sikkerhet som utviklerflyt

Codex Security treffer et felt som er i rask bevegelse. De siste månedene har flere store leverandører lansert spesialiserte modeller og agentoppsett for defensiv cybersikkerhet. Microsoft har lansert MAI-Cyber-1-Flash og MDASH. Anthropic har posisjonert Claude Security og forskning på kryptografiske angrep. Vercel har publisert DeepSecBench for å måle modellkost og effekt i sårbarhetsjakt. OpenAI skyver nå Codex Security inn i terminalen.

For virksomheter betyr det at applikasjonssikkerhet blir mer kontinuerlig og mer automatisert. Den gamle rytmen med periodisk pentest, manuell kodegjennomgang og sent stage-gate blir for treg hvis AI kan skanne mange repoer ofte. Samtidig blir kvaliteten på triage viktigere. Flere funn hjelper lite hvis utviklerne drukner i falske positiver eller hvis kritiske funn blandes med lavverdi-støy.

CLI-et har derfor flere egenskaper ledere bør merke seg: policy-basert exit code, maskinlesbare formater, historikk, sammenligning av scans og mulighet for CI-integrasjon. Dette gjør verktøyet målbart. Det gjør det også mulig å sette terskler: hvilke alvorlighetsgrader stopper build, hvilke repoer skal skannes, hvem eier unntak, og hvor lenge kan et funn stå åpent.

For CISO-er er den viktigste gevinsten ikke at AI finner alt. Det gjør den ikke. Gevinsten er at sikkerhet kan flyttes nærmere utvikleren, tidligere i flyten og med bedre dekning. Men det krever klare regler for autorisert bruk. OpenAI skriver eksplisitt at man bare skal skanne repoer man eier eller har tillatelse til å teste. Det bør inn i intern policy og verktøykonfigurasjon.

Innkjøps- og styringsspørsmål

Før virksomheter ruller ut slike verktøy bredt, bør de svare på fem spørsmål. Hvilke repositorier kan skannes? Hvilke modeller og kontoer brukes? Hvor lagres scan-resultater? Hvem får se reproduksjonsdetaljer? Og hvordan kobles funn til eksisterende sårbarhetshåndtering, risikoregister og endringskontroll?

For utviklingsorganisasjonen er det også et produktivitetsvalg. Hvis AI-sikkerhet skal inn i CI/CD, må det ikke bli en ny tilfeldig portvakt. Det bør starte med rapportmodus, målte falske positiver, tydelige alvorlighetsgrenser og eierskap hos både sikkerhet og plattformteam. Etter det kan blocking gradvis slås på for kritiske kategorier.

For styret er signalet bredere: AI endrer kostkurven på både angrep og forsvar. Når forsvarsverktøyene blir billigere og mer automatiserte, vil også forventningen til grunnleggende kodehygiene øke. Det blir vanskeligere å forklare gamle, åpenbare sårbarheter i egen kode hvis automatiserte kontroller var tilgjengelige, men ikke tatt i bruk.

Kort sagt: Codex Security CLI er ikke nok til å løse applikasjonssikkerhet. Men den viser hvor markedet går. Sårbarhetsjakt blir en løpende, agentassistert utviklerflyt. Virksomheter som tar det i bruk med gode grenser kan få bedre dekning. De som tar det i bruk uten governance får bare enda en kraftig agent med tilgang til sensitiv kode.

Kilder og medier

Primærkilde: OpenAI GitHub, Codex Security, https://github.com/openai/codex-security Kildekreditering: OpenAI / GitHub, OpenAI Codex Security-repoet og OpenAI-dokumentasjon for CLI-et. Source_url er primærkilden over. Thumbnail: OpenAI Image 2 / hogby.ai