OpenAI hat seinen Quellcode offengelegt

OpenAI hat endlich wieder einmal etwas wirklich Offenes gemacht!

Kürzlich gab OpenAI offiziell bekannt, dass es heimlich ein leistungsstarkes Open-Source-Tool für Codesicherheit veröffentlicht hat – Codex Security CLI.

Zuvor wurde es bereits von jemandem auf Hacker News entdeckt, die Diskussion explodierte sofort, und die Anzahl der GitHub-Sterne stieg schnell auf 1,2 Tausend.

Da es sich nicht mehr verbergen ließ, musste OpenAI es selbst offiziell bestätigen.

GitHub-Adresse: https://github.com/openai/codex-security

Vor einigen Tagen äußerte sich Jensen Huang persönlich öffentlich zur Unterstützung von Open-Source-KI, woraufhin OpenAI sich dieser Gruppe anschloss.

Unerwarteterweise kam die Überraschung so schnell: Ein bahnbrechendes Open-Source-Meisterwerk wurde im Handumdrehen vorgestellt.

Man muss sagen, dass das Wort von Jensen Huang wirklich Gewicht hat!

Das Codesicherheits-Tool von OpenAI ist jetzt Open Source

Der "Hauptdarsteller" dieser Open-Source-Veröffentlichung ist codex-security, bestehend aus einer CLI und einem TypeScript SDK.

Seine Kernfunktion ist sehr direkt: Es bietet eine Kombination von Maßnahmen, um automatisch Schwachstellen im Code-Repository zu erkennen, zu überprüfen und zu beheben.

Es ist sofort einsatzbereit, der gesamte Prozess lässt sich mit nur drei Befehlen ausführen:

• npm install @openai/codex-security
• npx codex-security login
• npx codex-security scan .

Für CI-Läufe ist keine Anmeldung erforderlich, es reicht, einen OPENAI_API_KEY zu konfigurieren.

Die Voraussetzungen sind Node.js Version 22 oder höher, Python 3.10 oder höher sowie eine Zugriffsberechtigung für Codex Security.

1,2 Millionen Commits, 792 kritische Schwachstellen

Streng genommen ist Codex Security kein "neues Produkt".

Es stammt aus dem Projekt Aardvark, das im Oktober 2025 im privaten Betatest war, und wurde am 6. März dieses Jahres umbenannt als Forschungsvorschau veröffentlicht.

Das Besondere an diesem Tool ist seine Positionierung – ein intelligenter Agent für Anwendungssicherheit.

Codex Security dringt wirklich tief in die unteren Ebenen vor, um Ihren Code zu lesen und zu verstehen, was Ihr System genau tut. Sein Arbeitsablauf gliedert sich in drei Schritte:

Zuerst liest es das gesamte Repository durch, erstellt ein bearbeitbares Bedrohungsmodell und klärt auf, wofür das Projekt bestimmt ist und welche Bereiche am meisten exponiert sind;

Anschließend sucht es anhand dieses Kontexts nach Schwachstellen und klassifiziert sie nach ihren Auswirkungen in der realen Welt;

Schließlich werden verdächtige Probleme in einer Sandbox echten Belastungstests unterzogen, nicht überprüfte Probleme werden nicht ausgegeben.

Aus seinen Ergebnissen geht hervor, dass es wirklich sehr leistungsstark ist.

In den ersten 30 Tagen nach der Veröffentlichung hat es mehr als 1,2 Millionen Commits gescannt und 792 kritische Schwachstellen sowie 10561 hochriskante Befunde ermittelt.

OpenAI erwähnte außerdem, dass die Falsch-Positiv-Rate bei wiederholten Scans derselben Repositorys um mehr als 50 % gesunken ist.

Die ersten Nutzer haben ihre Rechnungen stark überzogen

So groß die Versprechungen der Behörde auch sein mögen, sie können die "tragischen Testergebnisse" nicht aufhalten, die sofort von Entwicklern auftauchten.

Auf Hacker News hat der Entwickler gregwebs ein kleines Repository zum Testen verwendet und ein erschütterndes Terminal-Protokoll vorgelegt.

Die Vorbereitung begann bei 0 Minuten und 3 Sekunden, der Scan startete bei 1 Minute und 20 Sekunden, lief dann bis 52 Minuten und 47 Sekunden und schließlich erschien eine rote Zeile – der HEAD des Repositorys hat sich während des Scans geändert, bitte starten Sie den Vorgang neu.

Nicht nur ist eine Stunde Arbeit umsonst, dieser Vorgang hat auch die Hälfte des wöchentlichen Kontingents seines Pro-Tarifs verbraucht.

Ein anderer Nutzer namens Quai hatte noch mehr Pech: Der Scan stieß gleich zu Beginn auf eine Kontingentbegrenzung des Kontos, das Tool versuchte es eine Minute lang erneut und gab dann auf.

Das Tool zeigte zwar an, dass "ein Teil der Ergebnisse beibehalten wurde", aber er fand keine offensichtliche Möglichkeit, diese bei dem nächsten Scan weiterzuverwenden. Dieser fehlgeschlagene Lauf kostete etwa 13 US-Dollar.

Warum ist es so teuer? Ein Blick auf die Standardkonfiguration klärt die Sache sofort auf.

Codex Security ruft standardmäßig gpt-5.6-sol auf und setzt die "Schlussfolgerungsstärke" rücksichtslos auf den Höchstwert extra-high.

Man muss wissen, dass Sol das teuerste Modell in der GPT-5.6-Familie ist, sein API-Preis beträgt bis zu 5 US-Dollar pro 1 Million Eingabe-Token und 30 US-Dollar pro 1 Million Ausgabe-Token.

Jensen Huang machte den Anfang, OpenAI ging einen Schritt weiter

Kurz nachdem Jensen Huang öffentlich seine Unterstützung für Open-Source-KI bekundet hatte, stellte OpenAI Codex Security vor.

Man sollte diese "Open-Source-Veröffentlichung" aber nicht zu optimistisch einschätzen.

OpenAI ist sehr klug vorgegangen: Es hat nur die Hülle der Anwendungsebene als Open Source veröffentlicht, die Modellebene behält es fest in eigener Hand.

Wie auch immer, die Büchse der Pandora, in der Agenten die Codesicherheit übernehmen, ist nun geöffnet.

Jetzt bleibt abzuwarten, wie die Entwickler dieses Open-Source-Tool stark modifizieren und mit der Magie der Gemeinschaft die Magie von OpenAI übertreffen.

Referenzmaterialien:

https://x.com/gdb/status/2082235089539526690?s=20 

https://x.com/OpenAI/status/2082263717916586117?s=20

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto "Xinzhi Yuan", Autor: Offenbarung von ASI, veröffentlicht von 36Kr mit Genehmigung.