The Pulse
OpenAI aggiunge scansioni di sicurezza programmate a Codex Cloud
OpenAI ha aggiunto a Codex Security Cloud scansioni programmate dei repository GitHub e controlli continuativi sui nuovi commit. Il servizio esamina i problemi rilevati, elimina i duplicati e prepara proposte di correzione da sottoporre all
AI.info Team · Scritto con l’IA ·
Codex Security Cloud di OpenAI può ora controllare i repository GitHub a intervalli programmati e continuare a esaminare i nuovi commit. Le scansioni di sicurezza dei repository diventano così un servizio cloud continuativo, anziché un’attività che gli sviluppatori devono mantenere in esecuzione sui propri dispositivi. L’azienda ha aggiunto la funzionalità alle note di rilascio del 29 settembre 2026, insieme a un aggiornamento separato di Codex Code Review per le pull request.
Scansioni programmate e controlli sui nuovi commit
I team possono avviare scansioni su richiesta o programmarne la ripetizione. Dopo la configurazione, i controlli continuativi esaminano i nuovi commit; le scansioni vengono eseguite nel cloud di OpenAI e possono proseguire anche dopo che un utente ha chiuso il portatile. Secondo le note di rilascio di OpenAI, il servizio esamina i potenziali problemi rilevati, elimina i duplicati e prepara proposte di correzione da sottoporre a revisione.
Questo flusso di lavoro risponde a due esigenze connesse ma distinte. Codex Security Cloud cerca vulnerabilità nei repository collegati e nelle loro modifiche nel tempo, mentre la funzionalità separata Code Review legge i riepiloghi e i diff delle pull request, segnala i problemi rilevati e consente agli utenti di discutere le modifiche prima di condividere un riscontro. La distinzione tra i prodotti è importante: l’annuncio descrive controlli di sicurezza sui nuovi commit, non una revisione automatica della sicurezza di ogni pull request.
Dal modello del repository alla proposta di patch
Secondo la documentazione di Codex Security di OpenAI, il servizio si collega a GitHub e costruisce un modello delle minacce adattato a una base di codice. Il modello mappa i punti di accesso per gli aggressori, i confini di fiducia, i dati sensibili e i percorsi del codice a maggiore impatto. I team possono esaminarlo e modificarlo per rispecchiare le ipotesi sulle modalità di distribuzione della propria applicazione.
Per una potenziale vulnerabilità, Codex Security tenta di riprodurre il problema in un ambiente isolato prima di segnalarlo. Per i problemi che riesce a confermare, propone una patch che le persone possono esaminare e trasformare in una pull request. OpenAI afferma che lo strumento non modifica automaticamente il codice di un team. La documentazione descrive anche una nuova verifica dopo che una correzione confermata è stata applicata tramite patch e integrata, collegando il rilevamento a un controllo dell’intervento correttivo.
Il processo è pensato per offrire ai revisori più di un semplice avviso: per i problemi confermati, il servizio può fornire un’analisi dei percorsi d’attacco, dettagli sull’esecuzione e materiali a dimostrazione della fattibilità dell’attacco. Secondo la documentazione di OpenAI, il sistema usa il ragionamento dei modelli linguistici, l’uso di strumenti e un contesto ampio, anziché il fuzzing o scansioni basate su firme. La revisione umana resta quindi una parte importante del flusso di lavoro, soprattutto quando i team valutano se una correzione proposta sia adatta al loro codice e alle loro condizioni operative.
L’accesso dipende dalle autorizzazioni e dalla fatturazione
Secondo le note di rilascio di OpenAI, l’accesso richiede le autorizzazioni necessarie per l’area di lavoro, la configurazione del repository e quella della fatturazione. L’azienda afferma che i clienti che già usano Codex Security devono dare il proprio consenso prima che inizi l’utilizzo a pagamento. La documentazione separata del prodotto indica Codex Security come anteprima di ricerca per gli utenti ChatGPT Enterprise, Edu, Business e Pro e specifica che l’utilizzo di Cloud viene fatturato in base ai token.
Per le aree di lavoro Enterprise ed Edu, gli amministratori devono abilitare sia le autorizzazioni di Codex Cloud sia quelle di Codex Security e possono limitare l’accesso per ruolo o gruppo. La documentazione consiglia di iniziare con un numero ristretto di repository e revisori dedicati, osservando che l’avvio dell’utilizzo e la condivisione delle vulnerabilità restano processi relativamente manuali. Consiglia inoltre ai team di mantenere le pull request per le patch generate all’interno del consueto processo di revisione.
Le scansioni di sicurezza non equivalgono all’approvazione del codice
I nuovi controlli ricorrenti di Codex Security Cloud potrebbero aiutare i team a riesaminare il codice man mano che i repository cambiano, ma il lancio non rende le correzioni proposte automaticamente approvate. Il prodotto prepara patch che devono essere valutate dalle persone e l’accesso è soggetto a requisiti relativi all’area di lavoro e alla fatturazione. Le note di rilascio di OpenAI limitano inoltre l’accesso ai modelli Daybreak Blue al prodotto Codex Security Cloud: la funzionalità non dà accesso a quei modelli altrove.