OpenAI präsentiert Codex Security als KI-gestütztes Tool zur Schwachstellenerkennung in Softwareprojekten

OpenAI stellt Codex Security vor: Ein KI-Agent zur automatisierten Schwachstellenanalyse

OpenAI hat mit der Einführung von "Codex Security" einen bedeutenden Schritt im Bereich der Software-Sicherheit unternommen. Hierbei handelt es sich um einen auf künstlicher Intelligenz basierenden Agenten, der darauf ausgelegt ist, Schwachstellen in Softwareprojekten zu identifizieren, zu validieren und potenzielle Lösungen vorzuschlagen. Das Tool, das zuvor unter dem Codenamen "Aardvark" entwickelt wurde, befindet sich nun in einer Forschungsvorschau und ist für Kunden von ChatGPT Enterprise, Business und Edu zugänglich, wobei die Nutzung im ersten Monat kostenfrei ist.

Funktionsweise und technologische Grundlagen

Codex Security nutzt fortschrittliche KI-Modelle, um eine tiefgreifende kontextuelle Analyse von Code-Repositories durchzuführen. Der Prozess beginnt mit der Erstellung eines projektspezifischen, bearbeitbaren Bedrohungsmodells. Dieses Modell kartiert die Vertrauensgrenzen und Expositionsbereiche eines Systems, was eine präzise Einschätzung potenzieller Risiken ermöglicht. Anstatt generischer Heuristiken verwendet Codex Security dieses Kontextverständnis, um Schwachstellen basierend auf deren realen Auswirkungen zu priorisieren.

Ein zentrales Merkmal von Codex Security ist die Fähigkeit zur aktiven Validierung der gefundenen Schwachstellen. Dies geschieht durch die Ausführung von Proof-of-Concept-Exploits in isolierten Sandbox-Umgebungen. Dieser Schritt ist entscheidend, um die Anzahl der Fehlalarme und irrelevanten Meldungen zu reduzieren, die oft bei traditionellen statischen Analysetools auftreten. Wird eine Schwachstelle bestätigt, generiert der Agent einen kontextbezogenen Patch, der darauf abzielt, Regressionen zu minimieren und sich in die bestehende Systemarchitektur einzufügen.

Ergebnisse der Beta-Phase und Skalierbarkeit

Die Beta-Phase des Systems lieferte laut OpenAI vielversprechende Ergebnisse. Es wurde eine Reduzierung des "Alert Noise" (Rauschen von Warnmeldungen) um 84 % und eine Abnahme der übermäßig gemeldeten Schweregrade um 90 % festgestellt. Die Rate der Fehlalarme sank in allen überwachten Repositories um mehr als 50 %. Diese Verbesserungen tragen dazu bei, die gemeldete Schwere von Schwachstellen besser an das tatsächliche Risiko anzupassen und den Aufwand für Sicherheitsteams bei der Triage zu verringern.

Die Skalierbarkeit von Codex Security wurde in den letzten 30 Tagen der Beta-Phase demonstriert, in denen über 1,2 Millionen Commits aus externen Repositories gescannt wurden. Dabei wurden 792 kritische und 10.561 hochgradige Schwachstellen identifiziert. Kritische Fehler traten in weniger als 0,1 % aller gescannten Commits auf, was die Effizienz des Systems bei der Verarbeitung großer Code-Mengen unterstreicht.

Beitrag zur Open-Source-Gemeinschaft

OpenAI hat Codex Security auch zur Überprüfung kritischer Open-Source-Software (OSS) eingesetzt. Projekte wie OpenSSH, GnuTLS, PHP und Chromium wurden auditiert, was zur Entdeckung von hochwirksamen Zero-Day-Schwachstellen führte. Bisher wurden 14 offizielle CVEs (Common Vulnerabilities and Exposures) zugewiesen, die durch Codex Security identifiziert und validiert wurden. Diese Initiative zielt darauf ab, das Ökosystem der Open-Source-Software zu stärken, das die Grundlage vieler moderner Systeme bildet.

Um Open-Source-Maintainer weiter zu unterstützen, hat OpenAI das Programm "Codex for OSS" ins Leben gerufen. Dieses Programm bietet qualifizierten Open-Source-Maintainern kostenlosen Zugang zu ChatGPT Pro-Konten, Code-Review-Infrastruktur und Codex Security.

Marktpositionierung und Ausblick

Die Einführung von Codex Security positioniert OpenAI als Akteur in einem wachsenden Markt für KI-gestützte Code-Sicherheitstools. Diese Entwicklung ist auch im Kontext ähnlicher Initiativen anderer KI-Unternehmen zu sehen, wie beispielsweise Anthropic, das kürzlich ebenfalls ein Tool zur Cybersicherheit vorgestellt hat.

Für Unternehmen, die die Vorteile von Codex Security nutzen möchten, stehen Dokumentationen zur Konfiguration von Repository-Integrationen und zur Erstellung von Bedrohungsmodellen zur Verfügung. Open-Source-Maintainer können sich für das "Codex for OSS"-Programm bewerben. Die kontinuierliche Verbesserung des Signal-Rausch-Verhältnisses und die Möglichkeit, aus Benutzerfeedback zu lernen, sind Aspekte, die zur weiteren Entwicklung des Systems beitragen sollen.

Die vollständigen Details zur Funktionsweise und den Zugangsmöglichkeiten finden Sie in der offiziellen Dokumentation von OpenAI.

Bibliography

• OpenAI. (2026, March 6). Codex Security: now in research preview. Abgerufen von https://openai.com/index/codex-security-now-in-research-preview/
• Baran, G. (2026, March 7). OpenAI Launches Codex Security that Discover, Validate and Patch Vulnerabilities. Cybersecurity News. Abgerufen von https://cybersecuritynews.com/openai-launches-codex-security/
• Bang, A. (2026, March 6). OpenAI Releases AI Agent Security Tool for Research Preview. Bloomberg. Abgerufen von https://www.bloomberg.com/news/articles/2026-03-06/openai-releases-ai-agent-security-tool-for-research-preview?srnd=all
• Divya. (n.d.). OpenAI Rolls Out Codex Security in Research Preview for Context‑Aware Vulnerability Detection. Cyberpress. Abgerufen von https://cyberpress.org/openai-rolls-out-codex-security/
• Sabin, S. (2026, March 6). OpenAI introduces Codex Security to fast-track code reviews. Axios. Abgerufen von https://www.axios.com/2026/03/06/openai-codex-security-ai-cyber
• Mohammad Kashif. (2026, March 7). OpenAI Codex Security Launch: AI Agent That Catches Missed Vulnerabilities. Adwaitx. Abgerufen von https://www.adwaitx.com/openai-codex-security-research-preview/