OpenAI、セキュリティエージェント「Codex Security CLI」を早期公開 ─ 脆弱性の検出・検証・修正を支援

　OpenAIは7月29日(現地時間)、ソースコードの脆弱性を検出、検証、修正するコマンドラインツール「Codex Security CLI」の公開を発表した。最新版は「0.1.5」。

　「Codex Security」は、セキュリティチームや開発チームによる脆弱性の発見、確認、修正を支援するアプリケーション。コマンドラインからローカルリポジトリやコードの変更内容をスキャンできる。TypeScriptアプリケーションから同様の機能を利用するためのSDKも提供されている。

　本リリースは「early release(早期公開)」とされており、「Codex Security CLI」とSDKはいずれも現時点ではベータ版に位置付けられている。

　スキャン対象には、リポジトリ全体、指定したパス、コミット間の差分、作業ツリーを指定することができる。標準ではスキャン結果をレポートとして出力し、CI環境では「critical」「high」「medium」「low」の重大度をしきい値として設定して該当する脆弱性が検出された場合にチェックを失敗させることもできる。GitHub Actionsなどでは、SARIF形式で出力した結果をコードスキャン機能へアップロードすることもできる。

　複数のスキャン結果を照合し、同一の根本原因を持つ問題を関連付ける機能も備えている。これによって、脆弱性がどのタイミングで発生したのかを比較・検討できる。スキャン範囲が不完全な場合には、検出されなくなった問題を自動的に解決済みとはせず、状態を不明として扱う。

　

　スキャンの対象や方法を柔軟に設定できるのも特徴。リポジトリ内の特定のパスを対象にしたり、指定リビジョンとHEADの差分やワークツリーの変更のみをレビューすることなどができる。「deep」モードによる、より広範囲なスキャンも利用でき、アーキテクチャ文書や脅威モデルなどをナレッジベースとして指定することによる評価を行うこともできる。 　「Codex Security CLI」とTypeScript SDKのソースコードは、GitHubに公開されている。ライセンスはApache License 2.0。CLIとSDKはnpmパッケージ「@openai/codex-security」として提供され、npmから「npm install @openai/codex-security」でインストールすることができる。

(川原 龍人/びぎねっと)

[関連リンク]
Introducing the Open-Source Codex Security CLI
Codex Security
openai/codex-security(GitHub)