OPEN SOURCE SECURITY
Codex、脆弱性発見をオープンソース化
これまで有料ティア寄りだったCodexのセキュリティ機能が、CLIとSDKとして無償公開された。個人開発者にとっての恩恵は大きいが、同じ会社のクラウド実行環境自体が脆弱性を突かれていた過去もある。
「クローズド」だった機能が無料の手札になった
有料ティア寄りだったセキュリティ機能が、誰でも使えるOSSへ
OpenAIはコードの脆弱性を発見・検証・修正するツール「Codex Security」のCLIとTypeScript SDKをGitHub上でオープンソース化したと発表した。ライセンスはApache-2.0で、公開後すでにGitHub上で約1,500（1.5k）スターを獲得している。これまでCodexのセキュリティ関連機能は有料ティア寄りに位置づけられており、無料ユーザーが体系的な脆弱性スキャンを手元のリポジトリにかける手段は限られていた。Codex Securityは2026年3月にリサーチプレビューとして限定公開されていたもので、今回の一般公開によりnpmパッケージ「@openai/codex-security」として誰でもインストールし、自前のコードベースに脆弱性スキャンを実行できるようになった（Cybersecurity Newsの報道より）。
数字で見るCodex Security
この4つの数字が示すのは、単なる「無料化」ではなく「約4カ月の実地検証を経てから一般公開する」という慎重な段階設計だ。スター数の伸びは、開発者コミュニティが有料機能の無償化を歓迎している速度感を裏づけている。
発見・検証・修正・開示を1本のCLIで回す
Codex Securityは単発の静的解析ツールではなく、検出から開示までの一連の流れをパイプライン化している点が特徴だ。誤検知（false positive）を人間のレビュー前に自動で絞り込む設計になっているとみられる。
スキャン
コードベース全体を解析し、インジェクション・認可漏れ・シークレット露出など既知の脆弱性パターンの候補を洗い出す。
検証
検出した候補が実際に悪用可能かをサンドボックス上で確認し、誤検知を除いた「本物の脆弱性」だけに絞り込む。
修正提案
検証済みの脆弱性に対して具体的な修正パッチ案を生成し、開発者がレビューしてマージできる形で提示する。
開示
プロジェクト自体に関わる脆弱性報告はGitHub Issuesではなく、OpenAIのBugcrowdプログラムを通じた協調的開示で受け付ける方針が採られている。
誰に効くか — 個人開発者と企業でインパクトが違う
無料公開の恩恵は一様ではない。読者のポジションによって、この変化の意味は大きく分かれる。
個人開発者・小規模チーム
これまで有料ベンダーの脆弱性診断は費用面で手が届かなかった層に、無料のスキャンとパッチ提案が届く。CIパイプラインに組み込めば、プルリクエスト単位でのセキュリティレビューが実質ゼロ円で回せるようになる。
企業のセキュリティ部門・診断ベンダー
SAST/DAST領域の有料ベンダーにとっては、無料ツールが「発見」の入り口を侵食し始める変化として注視が必要だ。検出だけで差別化してきたベンダーは、統合運用やコンプライアンス証跡、SLAなど検出以降の付加価値で優位性を再定義する必要が出てくるだろう。
無料CLIと有料ベンダー、何が違うのか
| Codex Security（OSS） | 有料セキュリティベンダー |
|---|---|
| 無料（Apache-2.0） | 年間契約・シート課金 |
| 静的解析中心のコード脆弱性検出 | 動的解析・実行時監視まで含む統合診断 |
| コミュニティベースのサポート | 契約SLA・専任サポート窓口 |
| Bugcrowd経由の協調的開示 | ベンダー独自の脆弱性管理プロセス |
皮肉なことに、このOSS公開に先立つ2026年3月、セキュリティ企業BeyondTrust（Phantom Labs）はCodexのクラウド実行環境自体に重大なコマンドインジェクション脆弱性を発見していた。GitHubのブランチ名パラメータを通じてタスク作成のHTTPリクエストに任意コマンドを注入でき、GitHub認証情報が露出しうるという内容だ。脆弱性を見つけるツールを作る側にも、脆弱性は存在する——この事実は、無料スキャナの検出精度への過信を戒める材料になる。
次に何が起きるか、今すべきこと
短期的には、無料の発見ツールが普及することで個人・小規模開発のセキュリティ意識の底上げが進むと見られる。一方で誤検知や修正提案の見落としのリスクは残るため、人間のレビューを省略する運用は避けるべきだ。企業側は無料版を「一次スクリーニング」に、重要システムには有料ベンダーの深い診断を組み合わせるハイブリッド運用に向かうと見られる。
- 個人開発者・小規模チームはcodex-securityをCIパイプラインに試験導入し、プルリクエスト単位の自動スキャンを追加する。
- 企業のセキュリティ部門は無料版の検出結果を既存の有料ツールの結果と突き合わせ、精度とカバレッジのギャップを定量的に比較する。
- OSSプロジェクトのメンテナは自プロジェクトのセキュリティポリシーにBugcrowd等の協調的開示窓口を明記し、Codex Security利用時の脆弱性報告動線を整理する。