Codex Security : l'IA d'OpenAI révolutionne la détection des failles

Codex Security : une avancée majeure dans la sécurité des applications

OpenAI présente Codex Security, un agent de sécurité des applications qui se distingue par sa capacité à construire un contexte approfondi sur les projets. Cette approche permet d'identifier des vulnérabilités complexes que d'autres outils de sécurité ne parviennent pas à détecter. En mettant en avant des résultats fiables et des correctifs efficaces, Codex Security améliore significativement la sécurité des systèmes tout en réduisant le bruit causé par des bugs mineurs.

L'évaluation des risques de sécurité repose fortement sur le contexte, une dimension souvent négligée par les outils de sécurité basés sur l'intelligence artificielle. Ces derniers tendent à produire des résultats à faible impact et des faux positifs, obligeant les équipes de sécurité à consacrer un temps précieux au triage. En parallèle, l'accélération du développement logiciel rend l'examen de la sécurité de plus en plus crucial. Codex Security s'attaque à ces deux problèmes en combinant le raisonnement avancé de ses modèles avec une validation automatisée. Cela permet de fournir des résultats fiables et des correctifs exploitables, permettant aux équipes de se concentrer sur les vulnérabilités significatives et de livrer du code sécurisé plus rapidement.

Une évolution depuis la bêta privée

Initialement connu sous le nom d'Aardvark, Codex Security a été lancé l'année dernière en version bêta privée avec un groupe restreint de clients. Lors des premiers déploiements internes, l'outil a mis en évidence une véritable vulnérabilité SSRF, une faille critique d'authentification inter-locataires, ainsi que de nombreux autres problèmes résolus par l'équipe de sécurité en quelques heures. Les premiers tests externes ont permis d'améliorer la manière dont les utilisateurs fournissent un contexte produit pertinent, facilitant ainsi l'intégration et la sécurisation du code. La qualité des résultats s'est considérablement améliorée au cours de la bêta : les analyses répétées sur les mêmes dépôts ont montré une précision croissante, réduisant le bruit de 84 % depuis le déploiement initial.

Les résultats avec une gravité surévaluée ont été réduits de plus de 90 %, et les faux positifs ont chuté de plus de 50 % dans tous les dépôts. Ces améliorations permettent à Codex Security d'aligner plus précisément la gravité signalée avec le risque réel, réduisant ainsi le fardeau inutile du triage pour les équipes de sécurité. Nous anticipons une amélioration continue du rapport signal/bruit.

Dès aujourd'hui, Codex Security est disponible en aperçu de recherche pour les clients ChatGPT Pro, Enterprise, Business et Edu via le web Codex, avec une utilisation gratuite pendant le mois prochain.

Les mécanismes de Codex Security

Codex Security repose sur les modèles avancés d'OpenAI et l'agent Codex. Il réduit le bruit et accélère la remédiation en ancrant la découverte, la validation et le patching des vulnérabilités dans un contexte spécifique au système.

• Élaboration d'un contexte système et création d'un modèle de menace éditable : Après configuration, Codex Security analyse le dépôt pour comprendre la structure pertinente à la sécurité du système. Il génère un modèle de menace spécifique au projet, capturant les actions du système, ses confiances et ses zones d'exposition. Les modèles de menace peuvent être modifiés pour rester alignés avec l'équipe.

• Priorisation et validation des problèmes : Utilisant le modèle de menace comme contexte, Codex Security recherche des vulnérabilités et catégorise les résultats selon leur impact réel attendu. Lorsque possible, il teste les résultats dans des environnements de validation isolés pour distinguer le signal du bruit. Les utilisateurs peuvent consulter cette analyse dans les résultats validés. Configuré avec un environnement adapté au projet, Codex Security peut valider les problèmes potentiels directement dans le contexte du système en fonctionnement, réduisant ainsi les faux positifs et permettant la création de preuves de concept fonctionnelles.

• Correction des problèmes avec un contexte système complet : Codex Security propose des correctifs alignés avec l'intention du système et le comportement environnant. Cela permet des correctifs qui améliorent la sécurité tout en minimisant les régressions, les rendant plus sûrs à examiner et à intégrer. Les utilisateurs peuvent filtrer les résultats pour se concentrer sur les aspects les plus critiques pour leur équipe.

Codex Security apprend également des retours des utilisateurs pour améliorer la qualité de ses résultats. En ajustant la criticité d'un résultat, il affine le modèle de menace et améliore la précision lors des prochaines exécutions, s'adaptant à l'architecture et à la posture de risque de l'utilisateur.

Conçu pour fonctionner à grande échelle, Codex Security met en avant les résultats les plus fiables avec des correctifs faciles à accepter. Au cours des 30 derniers jours, il a analysé plus de 1,2 million de commits dans des dépôts externes de la cohorte bêta, identifiant 792 résultats critiques et 10 561 résultats de haute gravité. Les problèmes critiques sont apparus dans moins de 0,1 % des commits analysés, démontrant la capacité du système à identifier des problèmes de sécurité significatifs tout en minimisant le bruit pour les examinateurs.