Дебютує OpenAI Codex Security, оскільки гонка ШІ у сфері кібербезпеки з Anthropic набирає обертів

OpenAI запускає Codex Security, щоб кинути виклик Claude Code Security від Anthropic

Реліз відбувається на тлі зростального інтересу до ШІ-інструментів, здатних прочісувати величезні програмні проєкти швидше, ніж це коли-небудь могли б зробити людські команди безпеки. Codex Security створено для аналізу репозиторіїв, виявлення вразливостей, їхньої валідації в ізольованих тестових середовищах і пропозиції виправлень, які розробники можуть переглянути перед застосуванням. Система нарощує контекст коміт за комітом, дозволяючи ШІ розуміти, як еволюціонує код, а не просто позначати ізольовані фрагменти.

OpenAI написала:

“Ми представляємо Codex Security. Агент безпеки застосунків, який допомагає захистити вашу кодову базу, знаходячи вразливості, валідуючи їх і пропонуючи виправлення, які ви можете переглянути та пропатчити. Тепер команди можуть зосередитися на вразливостях, які мають значення, і випускати код швидше.”

OpenAI повідомила, що інструмент базується на її екосистемі Codex — хмарному ШІ-помічнику для інженерії, представленому в травні 2025 року, який допомагає розробникам писати код, виправляти баги та пропонувати pull request’и. За даними компанії, до березня 2026 року використання Codex зросло приблизно до 1,6 мільйона щотижневих користувачів. Codex Security розширює ці можливості на безпеку застосунків — сегмент індустрії, який, за оцінками, приносить близько $20 млрд на рік.

Оголошення OpenAI пролунало на тлі того, що вона також випустила GPT-5.3 Instant і GPT-5.4. Крок також слідує за дебютом Claude Code Security від Anthropic 20 лютого, який сканує цілі кодові бази та пропонує патчі для виявлених вразливостей. Побудований на моделі Claude Opus 4.6, інструмент намагається міркувати про програмне забезпечення як людський дослідник безпеки — аналізуючи бізнес-логіку, потоки даних і взаємодії систем, а не покладаючись лише на правила статичного сканування.

Anthropic заявила, що Claude Code Security уже виявив понад 500 вразливостей в open-source проєктах, включно з проблемами, які залишалися непоміченими роками. Наразі компанія пропонує функцію в режимі дослідницького попереднього перегляду (research preview) для корпоративних і командних клієнтів, тоді як мейнтейнери open-source можуть безкоштовно запросити прискорений доступ.

Обидві компанії роблять ставку на те, що ШІ-системи, здатні міркувати про контекст коду, перевершать традиційні сканери вразливостей, які часто генерують великі обсяги хибнопозитивних спрацювань. Щоб розв’язати цю проблему, Claude Code Security використовує багатоступеневу систему перевірки, яка повторно перевіряє знахідки та присвоює оцінки серйозності й упевненості.

Codex Security застосовує дещо інший підхід. Замість того щоб покладатися виключно на інференс моделі, агент валідуює підозрювані вразливості всередині ізольованих (sandboxed) середовищ перед тим, як показати результати. OpenAI заявила, що цей процес зменшує «шум» і дозволяє ШІ ранжувати знахідки на основі доказів, зібраних під час тестування.

“Codex Security починався як Aardvark, запущений торік у приватній бета-версії”, — написала OpenAI в X. Компанія додала:

“Відтоді ми суттєво покращили якість сигналу, зменшивши шум, підвищивши точність визначення серйозності та знизивши кількість хибнопозитивних спрацювань, щоб знахідки краще відповідали реальному ризику.”

Розробники, які переглядають результати Codex Security, можуть вивчати супровідні дані, переглядати різниці коду (diff) для запропонованих патчів і інтегрувати виправлення через робочі процеси Github. Система також дозволяє командам налаштовувати моделі загроз, змінюючи параметри, як-от поверхня атаки, охоплення репозиторію та толерантність до ризику.

Хоча запуск Anthropic сколихнув окремі частини сектору кібербезпеки, вихід OpenAI поки що спричинив радше обговорення, ніж паніку на ринку. Коли в лютому дебютував Claude Code Security, акції кількох кібербезпекових компаній ненадовго впали на 5%–10%, зокрема таких як Crowdstrike і Palo Alto Networks, перш ніж переважно відіграти просідання в наступних торгових сесіях.

Тоді аналітики зазначали, що розпродаж, імовірно, відображав занепокоєння щодо того, чи можуть ШІ-інструменти замінити частини ринку безпеки застосунків. Втім, багато дослідників стверджують, що ШІ-інструменти радше доповнюватимуть наявні платформи безпеки, ніж повністю замінюватимуть їх.

Виявлення вразливостей із допомогою ШІ швидко розвивалося протягом останніх двох років: великі мовні моделі (LLM) дедалі активніше беруть участь у завданнях кібербезпекових досліджень, таких як змагання Capture-the-Flag та автоматизоване виявлення вразливостей. Ці можливості можуть допомагати захисникам швидше знаходити слабкі місця в ПЗ — але також викликають занепокоєння, що зловмисники потенційно зможуть використати подібні системи.

Щоб зменшити ці ризики, 5 лютого OpenAI запустила ініціативу “Trusted Access for Cyber”, яка надає перевіреним дослідникам безпеки контрольований доступ до просунутих моделей для оборонних досліджень. Anthropic застосувала схожий підхід через партнерства з такими установами, як Pacific Northwest National Laboratory, та внутрішні програми red-team.

Поява ШІ-агентів безпеки означає зсув у бік того, що багато дослідників називають “agentic cybersecurity” — коли автономні системи безперервно аналізують, тестують і усувають вразливості ПЗ. Якщо такі інструменти будуть успішними, вони можуть скоротити час між виявленням вразливості та розгортанням патча — одну з найбільших слабкостей сучасної безпеки програмного забезпечення.

Для розробників і команд безпеки час появи важко ігнорувати. ШІ вже не просто пише код — тепер він його аудіює, ламає та виправляє, часто в межах одного й того самого робочого процесу.

І з тим, як OpenAI та Anthropic тепер змагаються лоб у лоб, наступна хвиля інструментів кібербезпеки може прийти не у вигляді традиційних сканерів, а як ШІ-агенти, які ніколи не сплять, ніколи не скаржаться і, в ідеалі, ловлять баги раніше, ніж це зроблять хакери.

FAQ 🤖

• Що таке Codex Security від OpenAI?
  Codex Security — це агент безпеки застосунків на основі ШІ, який сканує репозиторії GitHub, валідуює вразливості та пропонує виправлення коду.
• Чим Codex Security відрізняється від традиційних сканерів вразливостей?
  Система використовує ШІ-міркування та валідацію в sandbox-середовищі, щоб аналізувати контекст коду й зменшувати кількість хибнопозитивних спрацювань.
• Що таке Claude Code Security від Anthropic?
  Claude Code Security — це конкуруючий ШІ-інструмент, який сканує кодові бази на вразливості та пропонує патчі, використовуючи модель Claude від Anthropic.
• Навіщо ШІ-компанії створюють агентів кібербезпеки?
  ШІ-агенти можуть виявляти та виправляти вразливості ПЗ швидше за традиційні інструменти, допомагаючи розробникам посилювати безпеку коду в масштабі.