OpenAI が開発するアプリケーションセキュリティエージェント。アプリのコードベースを解析し、脆弱性の発見・検証・修正までを一気通貫でこなす。実装の仕組みを自然言語で解説しながら弱点を洗い出し、サンドボックス実行で本当に悪用可能かを検証して誤検知を排除したうえで、深刻度順に整理して提示する。前身は 2025 年 10 月に発表された研究エージェント「Aardvark」で、2026 年 3 月にプロダクトとして正式提供が始まり、同年 7 月 28 日にはオープンソース（Apache 2.0）の CLI と TypeScript SDK が公開された。Mac / Windows / Linux に対応する。
主な特徴
- 発見・検証・修正の一気通貫: コードをスキャンして脆弱性を見つけるだけでなく、修正パッチの生成・適用、GitHub のプルリクエスト作成まで自動化できる
- サンドボックス検証で誤検知を排除: 検出した脆弱性を隔離環境で実際に検証してから報告するため、静的解析ツールにありがちな大量の誤検知に振り回されにくい
- 自然言語での解説: 実装がどう動いているかを平易な言葉で説明しながら弱点を指摘するため、指摘の根拠を理解しやすく、レビューや学習にも役立つ
- スキャン履歴の比較: 過去のスキャン結果と比較して、新規・再発・解消済みの検出を自動判定できる。継続的なセキュリティ改善の進捗が追いやすい
- 一括スキャンと CI/CD 統合: Docker コンテナによる複数リポジトリの一括スキャンに対応し、API キーによる非対話実行で CI/CD パイプラインにも組み込める
- deep モードによる徹底検査: ワーカー数や停止条件を制御しながら、最大 96 時間の長時間実行でコードベースを深く検査するモードを備える
料金
| 提供形態 | 料金 | 備考 |
|---|---|---|
| CLI / TypeScript SDK | 無料（オープンソース、Apache 2.0） | 推論の実行に ChatGPT アカウントまたは OpenAI API キーが必要 |
| API キーでの利用 | 従量課金（トークン使用量に応じる） | スキャン時にトークン使用量と推定コストを表示。--max-cost で予算上限を設定可能 |
| ChatGPT プラン統合 | Pro / Business / Enterprise / Edu 向けに提供 | 詳細は公式情報を参照 |
料金は2026年8月時点の情報です。スキャンコストは解析の複雑さに応じて変動します。最新の情報は公式リポジトリおよびドキュメントをご確認ください。
メリット・デメリット
✅ メリット
- 発見から修正パッチ・プルリクエスト作成までを 1 つのエージェントで完結でき、対応の手間が大幅に減る
- サンドボックスでの実証を経てから報告するため、誤検知のトリアージに費やす時間を抑えられる
- 指摘の根拠を自然言語で説明してくれるので、セキュリティ専任者がいないチームでも判断しやすい
- CLI / SDK はオープンソースで、CI/CD への組み込みやカスタム統合の自由度が高い
- スキャン結果の比較機能で、脆弱性対応の進捗を継続的に追跡できる
⚠️ デメリット
- 推論の実行には ChatGPT アカウントまたは API キーが必要で、利用量に応じたコストが発生する
- スキャンコストはコード行数ではなくエージェントの推論量に依存するため、事前のコスト見積もりが難しい
- 一部の機能には OpenAI の承認（Trusted Access for Cyber）が必要とされる
- 2026 年登場の新しいツールであり、既存の SAST 製品に比べると運用実績の蓄積が少ない
- deep モードのような徹底検査は実行時間・コストとも大きくなりやすい
類似サービスとの比較
| 比較項目 | Codex Security | Snyk Code | GitHub Advanced Security | Semgrep |
|---|---|---|---|---|
| 提供元 | OpenAI | Snyk | GitHub | Semgrep |
| 検出方式 | AI エージェント + サンドボックス検証 | 静的解析 + AI | CodeQL（静的解析） | ルールベース静的解析 + AI |
| 自動修正 | パッチ生成 + PR 作成 | 修正提案あり | Copilot Autofix | Assistant による提案 |
| 誤検知対策 | サンドボックスで実証してから報告 | 独自エンジンで抑制 | クエリ精度に依存 | ルール調整で抑制 |
| オープンソース | CLI / SDK が Apache 2.0 | 非公開 | CodeQL は一部公開 | エンジンは公開 |
| 料金 | 従量課金 + ChatGPT プラン | 無料枠あり / 有料プラン | GitHub 有料プラン | 無料枠あり / 有料プラン |
こんな人におすすめ
- セキュリティ専任者を置けず、脆弱性の発見から修正までを開発チーム内で完結させたいスタートアップ・小規模チーム
- 既存の静的解析ツールの誤検知トリアージに疲れており、実証済みの検出だけを見たい開発者
- CI/CD パイプラインに AI によるセキュリティレビューを組み込みたい DevOps エンジニア
- 多数のリポジトリを抱えており、コンテナによる一括スキャンで横断的に棚卸ししたい組織
- 脆弱性の指摘理由を自然言語の解説で理解しながら、セキュアコーディングを学びたい人
まとめ
Codex Security は、脆弱性の発見・検証・修正・プルリクエスト作成までを一気通貫で自動化する、OpenAI 発のセキュリティエージェントである。サンドボックス実行による誤検知の排除と自然言語での解説という 2 点が、従来の静的解析ツールとの大きな違いだ。CLI / SDK はオープンソースで公開されており、まずは手元のリポジトリを 1 本スキャンして検出の質とコスト感を確かめ、良ければ CI/CD への組み込みや一括スキャンへ広げていくのが現実的な導入手順だろう。