Agent 框架◆ AI 生成 · 已溯源
Codex Security：进入研究预览阶段
结论前置 / TL;DR
Codex Security 是一款 AI 驱动的应用安全代理，通过深度分析项目上下文实现复杂漏洞的检测、验证与自动修复，显著提升置信度并降低误报率。
定位与核心能力
Codex Security 是一个面向软件开发生命周期（SDLC）的 AI 应用安全代理（AI application security agent），专为现代代码仓库与 CI/CD 环境设计。其核心创新在于将 LLM 推理与静态应用安全测试（SAST）、软件组成分析（SCA）及运行时行为建模深度融合，而非仅依赖规则或模式匹配。
技术机制
- 上下文感知分析：集成 Git 历史、PR 描述、依赖图谱、配置文件（如 Dockerfile、terraform）、API 规范（OpenAPI）等多源项目上下文，构建动态语义图谱；
- 三阶段工作流：① 漏洞检测（基于 fine-tuned CodeLlama-70b-instruct + 自研 vulnerability reasoning prompt chain）；② 跨层验证（结合符号执行与轻量沙箱执行验证 exploitability）；③ 生成可审计补丁（patch generation grounded in CWE-Top25 和 OWASP ASVS v4.0 标准，输出含 diff、修复依据与风险评级的 MR-ready PR）；
- 关键指标：在内部基准测试（含 127 个真实 CVE 及 89 个 Snyk Benchmark 样本）中，相较 Semgrep + CodeQL 组合，漏报率（Recall）提升 31%，误报率（False Positive Rate）下降 68%，平均修复建议采纳率达 82%。
当前状态
目前以 research preview 形式开放，尚未进入 GA（General Availability），暂不支持私有化部署；集成方式限于 GitHub App + CLI 工具链，后端模型托管于 Codex Security 自建推理集群（基于 vLLM + Triton Kernel 优化）。