摘要： OpenAI在3月6日宣布Codex Security以研究preview亮相，首波開放ChatGPT Enterprise、Business與Education客戶。這款AI應用資安agent可大規模掃描程式碼庫找出漏洞，並協助修復最常積壓的後段流程。研究preview期間仍有人工複核，誤報與修復建議都不應被當成可自動部署的結果。
OpenAI 在 3 月 6 日宣布，Codex Security 以研究 preview 之姿亮相。它是一款 AI 應用資安 agent，一手找出程式碼庫裡的安全漏洞，一手協助修復。適用對象同樣講得明白——ChatGPT Enterprise、Business 與 Education 客戶。
The Hacker News 的報導著墨最多的是規模這件事：這個 agent 能以大規模的方式掃描程式碼。對 OpenAI 而言，這也是把 agent 能力帶進垂直場景的最新進展。
從 coding agent 跨足資安：同一套能力的新用法
Codex 的本業是 coding agent，走向資安只是把同一套能力垂直應用。抓漏洞的任務形態，剛好落在 agent 擅長的範圍：先讀通整個 codebase 的結構，接著跨檔案追蹤資料怎麼流動，理解輸入如何演變成攻擊面，而且要在幾萬行程式碼之間維持專注、不放過細節。人類資安工程師做這項工作，卡住的從來不是知識，而是規模與耐性——這兩件事剛好是 AI 的強項。
真正的瓶頸在修復這一段
「finds and helps fix」這六個字的分量，超過它的字面。市面上早已不缺只做「發現」的工具：掃描器吐出一長串待辦清單，而清單始終清不到底——難就難在，修掉一個漏洞得理解上下文、權衡各種做法，還要確認修復不會弄壞其他功能。資安債之所以越積越多，堵住的就是這一環。把「協助修復」直接寫進產品定位，等於瞄準資安流程裡最燒錢的那段工時。
首波為何鎖定企業客群
這次研究 preview 只開放 Enterprise、Business 與 Education，道理並不難懂。資安掃描勢必接觸企業的核心程式碼，合約、權限與資料邊界於是成為先決條件，而唯一把這些條件內建好的客層，正是付費企業方案。再往另一面看，會為「降低資安風險」直接編列預算的買家也只有企業——漏洞的代價算得出來，ROI 的帳自然清楚。消費端與個人開發者遲早會被納入，只是起點先落在付得起、也最迫切需要的地方。
對資安工作與開發流程的意義
- 檢查節奏由定期改為持續：找漏洞不再依附季度的滲透測試，而是跟著程式碼的推進一路掃描下去
- 資安團隊的位置往上移一層：不再是逐行翻找問題，改為查核 AI 提出的發現與修復建議，並接手真正考驗判斷力的個案
- 研究 preview 期間維持人工複核：AI 指認的漏洞可能有誤報，修復建議更要經過人確認——「協助修復」不等於「自動修復」