OpenAI hat seinen neuen KI-gestützten Scanner zur Schwachstellenerkennung offiziell freigegeben. Das Tool namens Codex Security, das zuvor unter dem Namen Aardvark bekannt war, soll komplexe Sicherheitsprobleme identifizieren können, die andere automatisierte Lösungen möglicherweise übersehen.
Das System befindet sich derzeit in der Research-Preview-Phase, wurde aber bereits seit dem vergangenen Jahr in privaten Beta-Tests erprobt, unter anderem durch große Unternehmen wie Netgear. Ab sofort steht Codex Security für ChatGPT-Pro-, Enterprise-, Business- und Edu-Kunden zur Verfügung, mit kostenloser Nutzung für den ersten Monat.
Die Funktionsweise basiert auf einer systematischen Analyse: Das Tool untersucht Software-Repositories, erstellt ein Threat-Modell der Systemarchitektur und identifiziert dabei Schwachstellen unter Berücksichtigung von Rollen, vertrauenswürdigen Komponenten und potenziellen Angriffsvektoren. Die gefundenen Schwachstellen werden anschließend nach ihrer realweltlichen Auswirkung bewertet, und das System schlägt automatisch Patches vor.
Die Bilanz der bisherigen Tests kann sich sehen lassen: Über einen Zeitraum von 30 Tagen analysierte Codex Security 1,2 Millionen Code-Commits und identifizierte dabei knapp 800 kritische Sicherheitslücken sowie über 10.000 Sicherheitsprobleme mit hoher Schweregrad. Die Schwachstellen wurden in weit verbreiteten Open-Source-Projekten wie Chromium, OpenSSL, PHP, GOGS und GnuTLS entdeckt.
OpenAIs Ankündigung kommt unmittelbar nach der Vorstellung von Claude Code Security durch Anthropic – einem konkurrierenden KI-gestützten Vulnerability-Scanner, dessen Einführung für spürbare Kursrückgänge bei etablierten Cybersecurity-Unternehmen sorgte.
Allerdings sind KI-gestützte Scanner zur Schwachstellenerkennung nicht grundsätzlich neu. GitHub bietet solche Funktionen bereits seit Jahren an, und auch Google hat nach eigenen Angaben bedeutende Fortschritte in diesem Bereich erzielt. Der wachsende Wettbewerb in diesem Segment zeigt jedoch, wie zentral automatisierte Sicherheitsanalysen für die zukünftige Softwareentwicklung werden.