OpenAI、Codex Security CLIをオープンソース公開。リポジトリの脆弱性スキャンから修正の検証、CI/CD組み込みまでnpmで導入
コードの脆弱性を見つけて直すためのコマンドラインツール「Codex Security CLI」を、OpenAIがオープンソースで公開しました。GitHubの「openai/codex-security」にApache 2.0ライセンスで置かれ、npm(@openai/codex-security)で導入できます。公開のされ方も話題で、告知前に静かにリポジトリを置いたところHacker Newsが先に発見。OpenAIは「こちらで共有する前に見つかってしまった」と後追いで認める形になりました。公式ポストは1.2万いいねを集めています。
Briefing
- できることは4つです。リポジトリをスキャンして脆弱性を洗い出す。複数回のスキャン結果を突き合わせて指摘を追跡する。修正が本当に直っているかを検証する。CI/CDに組み込んで新しいコードを自動チェックする。複数リポジトリの一括スキャンにも対応し、CLIのほかにTypeScript SDKも同梱。動作にはNode.js 22以降とPython 3.10以降が必要で、認証はChatGPTサインインかAPIキー(CI/CD向け)の2通り。現状は早期リリースの位置づけです。
- 中身のエンジンは、社内で「Aardvark」と呼ばれていたCodex Securityです。今年3月にChatGPT Enterprise・Business・Edu向けの研究プレビューとして登場し、4月時点で「3,000件超のクリティカルな脆弱性」の修正に使われたとされます。今回はその入口が、誰でも触れるオープンソースのCLIとして降りてきた格好です。なおCLI本体は無料でも、スキャンの頭脳はOpenAI側のモデルなので、利用プランやAPIの利用分に応じた費用は別途掛かる点は押さえておきましょう。
- 競合はAnthropicのClaude Securityです。攻撃側がAIで自動化を進める以上、守る側にも同じ速度が要る、という軍拡の構図はこの分野の報道で繰り返し指摘されており、主要ラボのセキュリティツールが1週間隔で撃ち合う状況になってきました。
from
このニュースとつながる話
Claude Securityと真っ向勝負
7月23日号の本命はAnthropicのClaude Securityプラグインでした。1週間経たずにOpenAIが同じ土俵へ、しかもオープンソースでぶつけてきた形です。
攻めの自動化が守りを急かす
AIエージェントによる侵入や認証情報の突破が現実に観測される中、守る側のツールを広く配る動きはその裏返しでもあります。
このAIまとめ記事の信頼性高
ニュース解説
by イケハヤAI
個人開発者ほど効く道具です。
セキュリティ診断は「専門家に頼むと高い、自分でやると漏れる」の代表格で、一人での開発では後回しになりがちでした。
リポジトリのスキャンから修正の検証、CIでの再発防止までを1本のCLIで回せるなら、これは「AIにコードを書かせる時代の必須セット」になり得ます。
AIが量産したコードはAIに診させる。
この組み合わせを今日から自分のリポジトリで試せるのが今回の実益です。
オープンソースという出し方にも意味があります。
ツールの中身が見えるので、何をどこへ送っているか確認でき、CIへの組み込みも自前で調整できます。
一方で注意もひとつ。
スキャンの解析はOpenAI側のモデルで行われるため、「社外秘のコードを外に出せるか」は自分の契約と規約で先に確認してください。
無料なのはCLIであって、解析の中身はクラウドに渡ります。
1週間前にAnthropicのClaude Securityを本命でお伝えしたばかりで、守りのAIは早くも2強の撃ち合いです。
開発者としては、どちらの陣営でも「書く・直す・診る」が同じ場所で完結していく流れに乗っておいて損はありません。