小さなリポジトリをスキャンして52分、最後に出たのはエラーだけ。週の使用量は半分が消え、別の開発者は失敗したスキャンに13ドルを払いました。OpenAIが公開したのは、こうした失敗が起きる場所そのものです。脆弱性を見つける能力ではなく、それを何百のリポジトリで毎日回すための足場が、いま初めて外から見えるようになりました。
OpenAIは2026年7月29日、Codex SecurityのCLIとTypeScript SDKをオープンソースとしてGitHubで公開した。@openai/codex-securityはNode.js 22.13.0以降の22.x、24.xまたは26.xと、Python 3.10以降を要件とし、組織横断の一括スキャン、結果の履歴追跡、検出結果の照合、誤検知の記録と再適用、–max-costによる予算管理、CI連携を備える。
ライセンスはApache 2.0で、スキャンの実行にはOpenAIのモデルへのアクセスを要する。リポジトリのスター数は元記事執筆時点で2.1k、フォークは114だったが、2026年7月30日12時台の確認では約5.2kスター・325フォークまで増加した。Hacker Newsでは元記事執筆時点で392ポイント、122コメント、同じ確認時点で587ポイント、224コメントを記録している。開発には、OpenAIが2026年3月9日に買収を発表したPromptfooの共同創業者マイケル・ダンジェロが関与する。認証エラーの修正はバージョン0.1.1として提供された。ユーザーのQuaiは、失敗したスキャンで約13ドルを消費したと報告した。
From: 
OpenAI Open-Sourced Codex Security: What HN Thinks
【参考動画】
Daybreakの拡張として発表されたCodex Security、GPT-5.5-Cyber、Cyber Partner Program、Patch the Planetについて、実際に何が提供されたのかを整理した解説動画です。2026年6月公開。今回のオープンソース化に至る前段の全体像を把握するのに適しています。
【編集部解説】
まず押さえておきたいのは、これは「OpenAIが新しいセキュリティツールを出した」というニュースではないという点です。Codex Securityのクラウド版は2026年3月6日にリサーチプレビューとして始まっています。さらに前史があり、2025年10月に発表されたエージェント型セキュリティリサーチャー「Aardvark」が旧称で、3月6日付の更新でAardvarkはCodex Securityになったと公式に告知されました。今回公開されたのは、そのスキャナが依拠するモデルではなく、周りに付いた運用のための仕組みです。
「見つけている」ことの裏付け
先に実績を確認しておきます。OpenAIの公式発表には、Codex Securityが発見した高影響のオープンソース脆弱性がCVE番号付きで列挙されています。GnuTLSのcerttoolにおけるオフバイワンのヒープバッファオーバーフロー（CVE-2025-32990）、SCT拡張パース時のヒープバッファ読み過ぎ（CVE-2025-32989）、Gogsのリカバリコードがユーザーに紐づかず別アカウントで使えてしまう2要素認証バイパス（CVE-2025-64175）、Gogsの未認証ファイルアップロード（CVE-2026-25242）など、具体的な指摘が並びます。
規模の数字もあります。2026年3月にクラウド版のリサーチプレビューが始まって以降、3万を超えるコードベースにわたって3,000万件以上のコミットがスキャンされ、人間のレビュアーが修正済みとして手動でマークした検出結果は7万件以上、自動的に修正済みと判定されたものは50万件以上に達したとOpenAIは公表しています。いずれも同社自身による集計で、第三者監査は示されていません。
「スキャナ」ではなく「ハーネス」が公開された
HNで注目を集めた指摘が、今回のリリースの構図を的確に言い当てています。曰く、スキャナはこの中で最も面白くない部分であり、実行間の重複排除、誤検知の追跡、予算管理、CIゲーティングといった周辺機構こそがプロダクトである、と。これはスレッド全体の合意ではなく一投稿者の評価ですが、実装を見るとその見立ては裏づけられます。
マイケル・ダンジェロ本人も、Codexプラグイン版は「今作業しているリポジトリのスキャン」に向き、スタンドアロンのCLI/SDKは同じスキャナを使いながら「組織横断のスキャン、履歴の結果、重複排除、誤検知の追跡、予算管理、CI統合を含めて、複数リポジトリにまたがってセキュリティを長期的に回す」ための設計だと説明しています。
実装名で言えば、組織横断は bulk-scan がGitHubの組織やアカウントからリポジトリを探索し、CSVと複数workerで実行する形です。CIゲーティングは重大度を条件にした終了コードで実現されます。
先の数十万件という桁が、こうした仕組みが必要になる理由です。数十件の検出なら手作業で管理できる。数十万件になると、重複排除も誤検知の記録も、仕組みなしには成立しません。ただしこれは編集部の分析であり、公表された件数から必然的に導かれた実証結果ではありません。
脆弱性を「見つける」能力はすでにモデル側にあった。足りなかったのは、それを何百のリポジトリに対して、予算内で、毎日回し続けるための足場だったわけです。モデルの賢さの競争から、モデルを業務に載せる配管の競争へ——その移行が、セキュリティという最も保守的な領域で可視化されました。
1か月前に、コミュニティが要求していた
今回のオープンソース化には、明確な要求が先行していました。2026年6月24日にopenai/codexリポジトリへ立てられたIssue #29878では、Codex CLI本体はApache-2.0で公開されているのに、codex-securityプラグインだけがマニフェスト上「Proprietary」と記され、openai-curatedマーケットプレイス経由で配布される独立した製品になっている——「セキュリティは隠されるべきではない」と指摘されていました。
そこから7月29日までは35日。ただし、このIssueが公開決定の直接の原因だったと示す資料はありません。時系列が先行しているという事実に留めておくのが正確です。
数字は、いま動いている
スター数の扱いには注意が必要です。元記事は2.1kスター・114フォークとしていますが、これは執筆時点のスナップショットです。2026年7月30日12時台の確認では約5.2kスター・325フォーク。同時期の別報道が約1.5k、また別の集計が約2.6kとしているのも、すべて取得時点の違いです。フォーク数は確認作業の中でも285から319まで幅が出ました。この種の数値を引用するときは、取得日時を添えるほかありません。
公開されたのは「Markdownで書かれた診断手順」だった
ここが今回、最も見落とされやすい点です。同梱されたskillは、TypeScript SDKの中に置かれていますが、その中核はTypeScriptのコードではありません。skills/**/SKILL.md と references/*.md、つまりプレーンなMarkdownです。2026年7月30日時点のmainブランチでは、13個のSKILL.mdが合計約2,090行、直下のreferencesが9ファイルで約895行、合わせて約2,985行という規模になっています。
主なskillの名前を並べると、その性格が見えてきます。security-scan、deep-security-scan、validation、triage-finding、attack-path-analysis、threat-model、fix-finding——全体では13種類あり、脆弱性を探し、検証し、攻撃経路を分析し、脅威モデルを立て、修正するまでの方法論そのものが、テキストとして置かれています。付随して、sqliteのスナップショット、検出結果のプレビュー、レポート形式の検証、スキャン契約の検証を担うPythonスクリプトと、findings・coverage・manifestのJSONスキーマも読める形で含まれます。SARIFアダプタの仕様書も同様です。
Markdownであるという事実は、この話の意味を弱めるどころか強めます。コンパイルされたコードではなく、人間が読み、書き換え、diffを取れるテキストである。手順そのものを自社のルールに合わせて書き換えることは、テキスト編集の範囲で完結します。ただし、それを実際に別の環境で動かせるかどうかは、後述するとおり別の問題です。
「オープンソースなのに送信は必要」というねじれ
パッケージのバージョンは0.1.1、ライセンスはApache 2.0です。しかしスキャンの実行にはOpenAIのモデルへのアクセスが必要で、公開時点でローカルや互換プロバイダへの対応は提供されていません。
ここは慎重に書く必要があります。リモートのモデルを使う以上、処理に必要な入力が送信されるのは確かです。ただし送信される範囲、保存の有無、データの利用条件は、契約形態と設定と処理方式に依存します。TACの承認を得ることがZero Data Retentionを自動的に付与するわけでもありません。「リポジトリ全体が必ず外部に保存される」という理解は正確ではなく、実務で判断するなら自社の契約とデータ処理条件を確認するのが先です。
公式リポジトリのREADMEは「最良の結果を得るには、アカウントがTrusted Access向けに検証されていることを推奨する」と記しています。これは必須要件ではなく推奨です。実行例には --model gpt-5.6-terra --effort high のようなモデル指定も含まれます。
アクセスは「審査の有無」ではなく三層構造である
Trusted Access for Cyber（TAC）は、2026年5月7日の公式発表で拡張されました。構造は三層です。標準のGPT-5.5は一般用途向けで、エクスプロイト生成などは拒否します。GPT-5.5 with Trusted Access for Cyberは検証済みの防御者向けに拒否を減らし、セキュアコードレビュー、脆弱性トリアージ、マルウェア解析、検出エンジニアリング、パッチ検証といった実務の大半を覆います。OpenAIはこの層を、多くのセキュリティチームにとっての推奨される出発点と位置づけています。GPT-5.5-Cyberは最も権限が広い層で、5月7日時点では限定プレビューとして、認可されたレッドチーミングや実標的への侵入テスト、統制されたエクスプロイト検証を対象としていました。
2026年6月1日以降、最も権限の広いモデルを使う個人メンバーには、フィッシング耐性のあるAdvanced Account Securityの有効化が求められます。組織はSSOで同等の認証を備えていることを証明する形でも代替できます。
つまり、「本気で使うには審査を通らなければならない」という二分法ではありません。標準アクセスでも動きます。ただし高度な防御作業や拒否率の低減を求める段階で、TACが関わってくる。しかも承認を得れば最上位層が自動で開くわけではなく、追加の承認と統制が伴います。高度なアクセス範囲は、身元確認と承認された用途と追加の統制に紐づいている——オープンソースという言葉が、ライセンスの話とアクセスの話に分裂しているのが現状です。
なお、Daybreakという構想全体の包括的な公式発表は2026年6月22日です。TAC拡張の5月7日と混同されやすいので、時系列としては分けて理解しておくのが安全です。
ガードレールが「見つけたのに教えない」を生む
HNで報告された、脆弱性を検出したのに内容の説明を拒否するという挙動。OpenAI自身、TACの公式ページで、標準モデルとTAC版の応答差を例示しており、標準モデルでは防御目的の実証コードであっても拒否が起こり得ることを示しています。今回の個別ケースが分類器による拒否だったとOpenAIが確定した資料はないため、断定はできませんが、可能性は高いと見ています。
攻撃にも使える知識だから抑制がかかる。しかし防御側にとっては、説明されない検出結果は使えません。OpenAIはDaybreakについて、レポートだけではシステムは安全にならず、価値は検証、影響評価、パッチの開発とテスト、開示の調整、そして実際のデプロイにあると説明しています。この認識と、個人開発者が受け取る「拒否」のあいだにある距離が、今回の摩擦の正体です。
コストの見積もりが立たないという壁
失敗したスキャンで約13ドルという報告、52分を超えるスキャンの末にHEADの変更で失敗し、Proプランの週次使用量の半分を消費したという報告——いずれもHN上の利用者報告であり、請求明細を第三者が監査したものではありません。ただし実装を見ると、これらが偶発的な不運ではないことが分かります。
--max-cost は、推定モデルコストが上限を超えた時点で停止します。厳密な請求額のハードキャップではなく、実行中のリクエストは完了するため上限を超え得ます。
そして決定的なのが再開です。公開時点で、開発チームは部分結果からの単一スキャン再開は未対応であり、適切な再試行と再開の仕組みが必要だと認めていました。repositories.csv による継続は、一括キャンペーンを再実行したときに完了済みリポジトリを飛ばす仕組みであって、一つのスキャンの内部にチェックポイントを置くものではありません。上限で止まった後、続きから、ができない。大規模リポジトリの扱いにおいて、これは機能の欠落というより設計上の課題です。
Promptfoo買収が、こういう形で表に出た
OpenAIによるPromptfoo買収の発表は2026年3月9日でした。同社はPromptfooを「開発中のAIシステムの脆弱性を特定・修正するAIセキュリティプラットフォーム」と位置づけ、その技術を「AIコワーカー」構築・運用基盤であるOpenAI Frontier（2026年2月5日ローンチ）へ統合する方針を示しました。発表時点では通常のクロージング条件付きで、「買収する」という告知の段階です。
Promptfooチームはイアン・ウェブスターとマイケル・ダンジェロが率いてきました。規模については情報源で数字が分かれます。PitchBook由来の報道は従業員11人としましたが、Promptfoo自身は買収発表の当日、エンジニアリング・GTM・オペレーションを合わせて23人まで急成長したと述べています。同社の発表によれば、ツールは35万人以上の開発者に使われ、月間アクティブは13万人、Fortune 500の25%以上のチームが依拠していました。累計調達額2,300万ドル、2025年7月のシリーズA後のポストマネー評価額は約8,600万ドル（PitchBookのデータをTechCrunchとForbesが報道）。買収額は非開示です。
ここで一点、注意しておきたいことがあります。Codex Securityのリサーチプレビュー開始は3月6日、Promptfoo買収発表は3月9日で、両者は3日違いの別の出来事です。同時発表だったかのように語ると、買収の意図を実際より直線的に描いてしまいます。近接はしていた。その程度に留めるのが正確です。
そのダンジェロ本人が、HNのスレッドで認証バグからレート制限、HEADエラー、ガードレールへの不満まで一つずつ直接応答している。認証周りの不具合はローンチ直後に現れましたが、修正はローンチ後まもなく0.1.1として提供されました。この応答性が買収文化の定着を意味するのかは、まだ評価を確定できる段階ではありません。ただOpenAIほどの規模の組織で、開発当事者がスレッドに降りてきて個別の失敗に答えるという振る舞いは、機能の多寡より重い意味を持ち得ると編集部は見ています。
言語選択の話は、実は本筋である
HNで指摘された「エージェント向けツーリングがPython/NodeからGo/Rustへ移りつつある」という観察。これはスレッド上の意見であり、市場統計や包括的な調査が示されたものではありません。業界トレンドとして断定はできません。
それでも論点としては本筋に触れています。エージェントは長時間走り、並行的で、待ち時間が支配的になりやすいプロセスです。数時間走る組織横断スキャンを、予算を監視しながら、途中で落ちても復帰させる——これはモデルの知能ではなく、ランタイムの信頼性の問題です。Codex CLI本体が主にRustで書かれているのに対し、今回のセキュリティCLIがNode.jsとPythonを要件としている点は、この文脈で読むと興味深い。ただし言語要件だけで障害復旧性の優劣は決まらず、すべてのエージェントを一律にI/Oバウンドと断じることもできません。仮説として置いておく程度の話です。
対照的な設計：Alibaba Open Code Reviewとの比較
元記事はAlibabaのCLIコードレビューツールにも触れています。ここは時系列を正しておく必要があります。AlibabaのOpen Code Review（OCR）がHNで公開されたのは2026年6月6日で、Codex Securityの公開とは約7週間離れています。同じ週の出来事ではありません。
それでも比較する価値は残ります。OCRはAlibaba Group内部の公式AIコードレビューアシスタントとして、2年間で数万人の開発者に使われ数百万件の欠陥を検出した後にオープンソース化されたものです（実績はAlibaba自身の申告）。ライセンスはApache 2.0、「確定性エンジニアリング × エージェント」のハイブリッド構成を掲げます。
狙う失敗モードが明快です。大規模な変更セットでエージェントがファイルを飛ばす「不完全なカバレッジ」と、報告された問題が別の行を指す「位置ずれ」——汎用エージェントに任せると起きるこの二つを潰すために、決定論的な部分を意図的に残した設計です。そしてOpenAIとAnthropicの両モデルに対応し、カスタムプロバイダも設定できます。
ただし「モデル側かパイプライン側か」という二者択一に還元するのは行き過ぎです。Codex Security側にも、sqliteのスナップショット、スキーマ検証、SARIF投影といった決定論的な処理は多数あります。違いは思想の重心と、モデル依存の度合いの深さにあると捉えるのが妥当でしょう。
この先に何が起こるか
編集部が最も注目しているのは、公開されたSKILL.md群です。脆弱性の探し方、検証の仕方、攻撃経路の分析、脅威モデルの立て方——それが読めるMarkdownとして、Apache 2.0で置かれた。セキュリティの方法論が、バージョン管理可能なテキストとして流通し始めるということです。
ここで一つ、慎重に扱いたい点があります。脆弱性診断のノウハウは、これまでも完全に閉じていたわけではありません。OWASPやCWE、各種のオープンソーススキャナ、研究論文を通じて、多くが公開されてきました。今回公開されたのは、その全体ではなく、フロンティアモデルに対して実際に成果を出させた運用手順という、比較的新しい種類の知識です。
数十億トークンのevalsで最適化されたという説明は開発者による自己申告で、評価方法やトークン集計の一次資料は公開されていません。それでも、フォークして改変できる形で置かれたという事実は残ります。
ここは期待を正確に見積もっておきたい部分でもあります。Markdown部分の改変は容易です。しかし実際に他社モデルで動かすには、認証、プロバイダAPI、ツール呼び出し、モデル挙動の差への対応が必要で、テキストを書き換えるだけでは済みません。ローカルモデル対応は開発チームが作業中と回答した段階、OpenRouter経由の他社モデル利用は一部ユーザーの計画段階——いずれも完成した実装の確認ではありませんが、この方向へ動く力は明らかに存在します。
一方で、同じ手順書は攻撃側にも読めます。閲覧できることと実害が生じることは別ですが、dual-use性は確かにある。TACのような検証でモデル能力を段階化する設計は、その非対称性を保つための仕掛けの一つです。手順書だけが公開され、モデルの側は多様化していく——この組み合わせが今後どう作用するかは、まだ誰も答えを持っていません。
未来に触りたい読者にとって、今回のリリースは「完成品を試す機会」ではありません。まだ壊れている土台に、いま手を入れられる機会です。HNのスレッドで報告された約13ドルの請求も52分の徒労も、それを踏んだ人が公開したからこそ、次のバージョンへの入力になった。そういう段階のものだと理解して触れるかどうかで、得られるものはまったく変わってきます。
【関連記事】
OpenAI、GPT-5.5-CyberとPatch the Planet始動—脆弱性は発見から修正の時代へ
本記事で扱ったDaybreak（2026年6月22日発表）の全体像を解説。3万コードベース／3,000万コミットの数値やPatch the Planetの経緯は、この記事と直接つながる。
OpenAIが発表したAardvark：GPT-5が脆弱性を自動発見・パッチングする時代へ
Codex Securityの前身にあたるAardvarkの初出解説。今回オープンソース化されたスキャナが、どこから来たのかを遡って確認できる。
GPT‑5.4‑Cyber登場—OpenAIがサイバー防衛AIを認証制で防衛者に段階開放へ
Trusted Access for Cyberの仕組みを先行して解説した記事。本記事の「アクセスは審査の有無ではなく三層構造」という論点の前提になる。
【編集部後記】
github.com/openai/codex-security を開いて skills/ の中を辿ると、SKILL.mdという名前のMarkdownが13個並んでいます。security-scan、threat-model、attack-path-analysis、fix-finding——脆弱性を探し、脅威を整理し、攻撃経路を追い、直すまでの手順が、referencesと合わせて3,000行に届かない量のテキストとして読める状態にある。コンパイル済みのバイナリではなく、diffが取れる文章です。
一方で、それを走らせる能力の範囲は身元確認と承認された用途に紐づいていて、Trusted Access for Cyberの三層のどこにいるかで拒否の頻度が変わります。手順は誰でも読める。効き方は誰かによって違う。この非対称は、OpenAI互換エンドポイント対応が実装され、認証やツール呼び出しの差を埋める作業まで含めて他社モデルへの移植が現実的になったとき、どちらの側に傾くのでしょうか。
【用語解説】
Codex Security
コードの脆弱性を発見し、検証し、修正するためのOpenAIのアプリケーションセキュリティエージェントである。2025年10月に発表された「Aardvark」の後継で、2026年3月6日にリサーチプレビューとして公開された際にAardvarkの名は退いた。リポジトリの構造を読んで編集可能な脅威モデルを生成し、隔離環境で検出結果を検証してからパッチを提案する設計を採る。
ハーネス（harness）
モデルそのものではなく、モデルを実務で回すための周辺の実行・制御機構を指す語である。今回の文脈では、複数リポジトリの横断スキャン、実行間の検出結果照合、誤検知の記録、予算上限の設定、CIへの組み込みといった仕組みの総体を意味する。厳密な標準規格用語ではないが、OpenAI自身もCodexを「エージェント的ハーネス」と表現している。
SKILL.md
エージェントに作業手順を指示するMarkdownファイルである。今回公開されたリポジトリでは13種類のskillが収録され、2026年7月30日時点で合計約2,090行、直下のreferences（9ファイル、約895行）と合わせて約2,985行のMarkdownとなっている。TypeScript SDKに同梱されているが、中核の定義自体はコードではなくテキストである。
CLI（コマンドラインインターフェース）
文字によるコマンド入力でソフトウェアを操作する方式である。画面上のボタンを押す代わりに命令文を打ち込むため、自動化やCIへの組み込みに向く。今回公開されたのは、このCLIとプログラムから呼び出すためのSDKである。
SDK（ソフトウェア開発キット）
他のプログラムから機能を呼び出すための部品集である。今回はTypeScript向けに提供され、数行のコードでスキャンを実行し、生成されたレポートのパスを取得できる。
bulk-scan
複数リポジトリを一括で対象にするコマンドである。GitHubの組織やアカウントからリポジトリを探索し、CSVで対象を指定して複数のworkerで並行実行する。記事中の「組織横断のスキャン」はこの機能を指す。
CI／CIゲーティング
CI（継続的インテグレーション）は、コードの変更ごとに自動でテストや検査を走らせる仕組みである。CIゲーティングは、その検査に通らない変更を本番へ進ませない関門を設けることを指す。Codex Securityでは重大度を条件にした終了コードなどで実現する。
Apache 2.0
オープンソースライセンスの一種である。商用利用、改変、再配布を広く許容し、特許に関する条項を含む点が特徴とされる。ただし著作権表示などの条件は残り、またライセンスが自由であることと実際にその機能を動かせることは別問題である。
ガードレール（guardrails）
AIモデルが危険な用途に使われることを防ぐための制約である。サイバーセキュリティ領域では、防御に必要な知識が攻撃にも転用できるため、標準モデルでは防御目的の実証コードであっても拒否が起こり得る。OpenAI自身が標準モデルとTAC版の応答差として例を示している。
evals（評価／エバル）
AIモデルやプロンプトの性能を体系的に測るテスト群である。開発者は今回同梱された手順群のチューニングに数十億トークン規模のevalsを費やしたと述べているが、評価方法やトークン集計の一次資料は公開されていない。Promptfooはもともとこの領域のツールを提供してきた企業である。
Trusted Access for Cyber（TAC）
OpenAIの身元確認・信頼に基づくアクセス枠組みである。2026年5月7日に拡張が発表された。標準のGPT-5.5、検証済み防御者向けのGPT-5.5 with Trusted Access for Cyber、最も権限が広い限定プレビューのGPT-5.5-Cyberという三層構造を採る。ガードレールを撤廃する制度ではなく、拒否の精度を上げて正当な防御作業の摩擦を減らす仕組みである。承認を得ても最上位層が自動で開くわけではなく、追加の承認と統制が伴う。
Daybreak
OpenAIのサイバーセキュリティ構想である。包括的な公式発表は2026年6月22日。モデル、TAC、Codex Securityのワークフロー、パートナー企業を組み合わせ、脆弱性の発見から検証、パッチ生成、修正の着地までを加速させることを掲げる。
Patch the Planet
Daybreakの構成要素のひとつである。Trail of Bitsとともに立ち上げ、HackerOneや研究者、メンテナーと協働して重要なオープンソースプロジェクトを安全にする取り組みとして発表された。
OpenAI Frontier
OpenAIの法人向けプラットフォームである。同社が「AIコワーカー」と呼ぶエージェントを構築・展開・管理するための基盤で、2026年2月5日にローンチされた。Promptfooの技術はここへ統合される方針が示されている。
Open Code Review（OCR）
Alibabaがオープンソース化したAIコードレビューCLIである。2026年6月6日にHacker Newsで公開された。同社内部で2年間、数万人の開発者に使われ数百万件の欠陥を検出したと自ら申告している。Apache 2.0ライセンスで、確定性のあるパイプラインとLLMエージェントを組み合わせるハイブリッド構成を採り、OpenAIとAnthropicの両モデル、およびカスタムプロバイダに対応する。
レート制限
一定時間内に許可されるAPI呼び出し回数の上限である。公開時には、レート制限によってスキャンが失敗したとの報告があった。現行のSDK READMEでは、ネットワーク障害とレート制限は再試行可能なエラーとして扱われている。
HEAD
Gitにおいて、現在チェックアウトしているコミットを指す参照である。スキャン実行中に対象リポジトリが更新されるとこの参照が変わる。元記事で報告されたケースでは、それが処理の失敗につながった。
SARIF
静的解析ツールの検出結果を記述するためのOASIS標準フォーマットである。バージョン2.1.0がOASIS標準として策定されている。Codex SecurityはSARIF形式での出力に対応しており、検出結果を他のセキュリティツールやGitHubの画面へ受け渡しやすくなる。
OpenRouter
複数の事業者のAIモデルを共通のインターフェースで呼び出せる中継サービスである。元記事では、コストを抑えるためにこれを経由して他社モデルを使う改造の計画が語られている。ただしCodex Security側の公式対応は公開時点で未実装である。
I/Oバウンド
処理時間の大半が計算ではなく入出力の待ち時間に費やされる状態を指す。エージェントはモデルの応答やツールの実行、人間の判断を待つ時間が支配的になりやすいが、その程度は個別の設計によって異なる。
【参考リンク】
OpenAI Daybreak（公式）（外部）
OpenAIのサイバーセキュリティ構想の公式ページ。Codex SecurityやTrusted Access for Cyberの階層構造が示されている。
openai/codex-security（GitHub）（外部）
今回公開されたCLIとTypeScript SDKの公式リポジトリ。インストール手順、動作要件、SDKの使用例が確認できる。
@openai/codex-security（npm）（外部）
CLIとSDKの配布パッケージ。バージョン情報や依存関係、ライセンスなど導入前に確認すべき情報が集約されている。
Codex Security CLI ドキュメント（公式）（外部）
コマンドの詳細、実行時の既定値、環境変数、一括スキャンの設定、SDKオプションを扱う公式リファレンス。
openai/codex（GitHub）（外部）
ターミナルで動作するOpenAIのコーディングエージェントの公式リポジトリ。主にRustで実装されている。
OpenAI Codex for OSS 申請フォーム（公式）（外部）
オープンソースのメンテナーが条件付きアクセスを申請するためのフォーム。個人開発者にとって現状の主要な入口となる。
OpenAI Daybreak – Trusted Access for Cyber 概要（外部）
TACの適用範囲と対象ワークフローを説明する公式ヘルプ。データ保持に関する扱いもここで確認できる。
Enterprise Daybreak オンボーディングガイド（外部）
法人がDaybreakを導入する際の手続きを扱う公式ガイド。組織単位で運用する場合の前提条件が確認できる。
Promptfoo（公式）（外部）
LLMアプリケーションの評価とレッドチーミングを行うオープンソースツールの公式サイト。買収後も継続方針が示されている。
promptfoo/promptfoo（GitHub）（外部）
Promptfooのオープンソース本体。LLM評価とレッドチーミングのCLIおよびライブラリとして公開されている。
alibaba/open-code-review（GitHub）（外部）
AlibabaのAIコードレビューCLIの公式リポジトリ。調整済みルールセットを内蔵し、OpenAIとAnthropicの両モデルに対応する。
OpenRouter（公式）（外部）
複数事業者のAIモデルを共通APIで利用できる中継サービス。モデルごとの価格や対応状況を比較できる。
Hacker News該当スレッド（外部）
今回の議論の一次情報。開発チームによる個別回答を含み、報道では省略された細部まで追うことができる。
openai/codex Issue #29878（外部）
オープンソース化を要求したIssue。プラグインの構成とライセンス表示が、ファイル単位で整理されて記録されている。
【参考記事】
Codex Security: now in research preview（外部）
2026年3月6日の公式発表。GnuTLSやGogsの脆弱性をCVE番号付きで列挙し、発見実績を具体的に示している。
Introducing Aardvark: OpenAI’s agentic security researcher（外部）
2025年10月の公式発表。Codex Securityの前身にあたるエージェント型セキュリティリサーチャーの初出。
Daybreak: Tools for securing every organization in the world（外部）
2026年6月22日の公式発表。3万超のコードベースで3,000万件以上のコミットをスキャンしたとしている。
Scaling Trusted Access for Cyber with GPT-5.5 and GPT-5.5-Cyber（外部）
2026年5月7日の公式発表。TACの三層構造と、6月1日以降のAdvanced Account Security要件を規定している。
Promptfoo is joining OpenAI（外部）
2026年3月9日、当事者側の発表。チームが23人まで成長し、35万人以上の開発者に使われたと記している。
OpenAI to acquire Promptfoo（外部）
同日のOpenAI側公式発表。Fortune 500の25%以上での採用と、Frontierへの統合方針が記されている。
OpenAI Acquires Promptfoo To Embed Security Testing Into Its Agents（外部）
PitchBookのデータを引き、累計調達2,300万ドル、評価額約8,600万ドル、従業員11人と報じている。
