Codex Security : un nouvel agent IA d’OpenAI pour mieux sécuriser sa codebase

Avec l’IA, le code s’écrit à une vitesse jamais vue auparavant… mais la sécurité, elle, reste souvent reléguée au second plan. À l’ère du vibecoding et des déploiements continus, les failles de sécurité s’accumulent plus vite que les équipes ne peuvent les colmater. Avec l’une de ses dernières nouveautés en date, OpenAI veut corriger l’une ds principales failles du vibecoding. Voici ce qu’il faut savoir sur Codex Security, cette solution qui serait capable de traquer et réparer les vulnérabilités directement dans le code, comme un antivirus nouvelle génération.

Concilier rapidité de développement et sécurité du code : l’équilibre impossible ?

Les entreprises et les développeurs produisent aujourd’hui du code à un rythme inédit. Automatisation, plateformes collaboratives, intégration continue… tout pousse à accélérer les cycles de développement.

Mais cette vitesse a une conséquence directe : les contrôles de sécurité deviennent un goulot d’étranglement. Dans la plupart des organisations, l’analyse de la sécurité repose sur plusieurs types d’outils :

• analyse statique du code,
• tests de sécurité automatisés,
• revues humaines par des experts sécurité.

Le problème ? Les solutions automatisées génèrent souvent un très grand nombre d’alertes… dont une grande partie sont des faux positifs ou sans impacts réels.

Résultat :

1. les équipes sécurité passent énormément de temps à trier les alertes,
2. les développeurs doivent analyser des problèmes parfois insignifiants,
3. les vulnérabilités réellement critiques peuvent être détectées tardivement.

C’est précisément ce problème que cherche à résoudre Codex Security.

Codex Security : un nouvel agent IA dédié à la détection des vulnérabilités

OpenAI présente Codex Security comme un agent spécialisé dans la sécurité des applications.

Son objectif est simple : identifier les vulnérabilités réellement dangereuses dans un projet logiciel, puis proposer des correctifs adaptés.

Contrairement à de nombreux outils de sécurité classiques, son approche repose sur un principe central : analyser le contexte global du système.

Autrement dit, au lieu d’examiner le code ligne par ligne, il cherche à comprendre :

• comment les composants interagissent,
• quelles relations de confiance existent entre les services,
• quelles parties du système sont exposées à l’extérieur.

Cette compréhension permet ensuite de prioriser les vulnérabilités selon leur impact réel.

Comment Codex Security analyse concrètement un projet ?

Le fonctionnement repose sur trois grandes étapes successives.

1. Construction d’un modèle de menace du système

Après avoir connecté un dépôt de code, Codex Security analyse la structure du projet pour créer un modèle de menace.

Ce modèle décrit notamment :

• les composants du système,
• les interactions entre services,
• les surfaces d’attaque possibles,
• les relations de confiance.

Les équipes peuvent ensuite modifier ce modèle afin qu’il corresponde exactement à l’architecture réelle du projet.

2. Détection et validation des vulnérabilités

Une fois le contexte établi, l’agent recherche des vulnérabilités dans le code, et, lorsque c’est possible, les problèmes détectés sont testés dans un environnement isolé.

Cette validation permet de distinguer :

• les vulnérabilités réellement exploitables (un peu comme le projet open source Shannon en soit),
• les alertes théoriques,
• les faux positifs.

Dans certains cas, l’outil peut même générer une preuve de concept fonctionnelle démontrant l’exploitation possible de la faille.

3. Proposition de correctifs adaptés au système

Dernière étape : proposer une correction.

L’objectif est ici d’éviter un problème fréquent dans la sécurité logicielle : corriger une faille tout en cassant une fonctionnalité.

Les correctifs proposés tiennent donc compte :

• du fonctionnement global du système,
• de l’intention initiale du code,
• des risques de régression.

Des premiers résultats déjà mesurés pendant la phase bêta

Codex Security n’arrive pas totalement de zéro.

Le projet était auparavant connu sous le nom de code Aardvark et a été testé en bêta privée auprès de plusieurs organisations. Les premiers résultats communiqués donnent un premier aperçu de ses performances :

Indicateur observé	Résultat annoncé
Réduction des faux positifs sur certains dépôts	jusqu’à 84 %
Réduction des erreurs de gravité surestimée	plus de 90 %
Baisse globale du taux de faux positifs	plus de 50 %
Commits analysés sur 30 jours	1,2 million
Vulnérabilités critiques détectées	792

Un autre point intéressant : les vulnérabilités critiques apparaissent dans moins de 0,1 % des commits analysés.

Cela signifie que l’outil est conçu pour faire ressortir les problèmes réellement dangereux dans un très grand volume de code.

Quand les projets open source deviennent un terrain d’expérimentation

OpenAI indique également utiliser Codex Security pour analyser plusieurs projets open source largement utilisés.

Des vulnérabilités ont notamment été signalées dans :

• OpenSSH,
• GnuTLS,
• GOGS,
• libssh,
• PHP,
• Chromium.

Au total, 14 vulnérabilités ont obtenu un identifiant CVE officiel.

Cette démarche répond à un problème bien connu dans l’écosystème open source : les mainteneurs reçoivent souvent trop de rapports de vulnérabilités de faible qualité. L’objectif affiché est donc de produire moins de bruit, mais plus de signalements importants et fiables.

Qui peut utiliser Codex Security aujourd’hui ?

Pour le moment, l’accès reste partiellement limité. Le déploiement concerne les utilisateurs de :

• ChatGPT Enterprise
• ChatGPT Business
• ChatGPT Edu

L’accès se fait via Codex web.

OpenAI précise également que l’utilisation sera gratuite pendant le premier mois.