OpenAI、セキュリティ監査ツール Codex Security Review を公開──Semgrep 比で検出精度 74% を達成
GitHub プルリクエストに直接統合され、リポジトリ全体コンテキストと脅威モデルを用いて誤検知を大幅に抑制したコード脆弱性スキャンを実現する。
リリース: 2026-08-06 · 読了 3 分記事の要約
1. 核心（What）
- OpenAI は GitHub プルリクエスト上で動作するコードセキュリティ監査機能 Codex Security Review をリサーチプレビューとして発表した。
- 単体の差分チェックにとどまらず、リポジトリ全体のコンテキストやプロジェクト固有の脅威モデルを参照して脆弱性をスキャンする。
- 検証ステージにおいて各問題の再現を試みることで、従来ツールに多かった誤検知を抑制する仕組みを持つ。
- 対応プランは Enterprise、Business、Edu、Pro であり、期間限定でクレジット消費なしで提供される。
2. 影響（Why）
- アラートノイズの劇的な削減: 従来の静的解析と異なり、データフローや認証境界を踏まえた上でサンドボックス検証を行うため、実務で無視されるアラートを排除して開発者のレビュー負荷を軽減する。
- 国内 SaaS への実用的なメリット: 国内のセキュリティ厳格な Web アプリ開発現場では、手動 PR コメントから実行できる手軽さにより、CI/CD パイプラインを複雑化させずに脆弱性検知を自動化できる。
3. 根拠・詳細（How）
- 3 段階の監査パイプライン: リポジトリ解析と攻撃パス探索を行う identification、問題の再現を試みる validation、修正パッチを生成する remediation の 3 段階で構成されている。
- 検出精度の比較ベンチマーク: 同一コードベースのテストにおいて、実バグ検出率は本ツールが 74% であるのに対し、Semgrep は 20%、Snyk は 28% という結果が示されている。
4. 展望・課題（Next）
- 現在の機能制限と対応予定: 現時点では GitHub のみに対応しており、コンプライアンスレポート機能や大規模リポジトリにおける初回スキャンの高速化が今後の課題となっている。