오픈AI가 Codex Security Review를 연구 프리뷰로 공개했다. GitHub 풀 리퀘스트(PR)의 보안 취약점을 자동으로 분석해, 실제로 악용 가능한 버그만 검증해서 알려주는 기능이다.
Now in research preview: Codex Security Review
— OpenAI Developers (@OpenAIDevs) August 7, 2026
It takes a deeper look at GitHub pull requests for security issues, using repository context and sandbox validation to confirm findings. It's available to Enterprise, Edu, Business, and Pro customers — free during the introductory period.
PR을 읽고 취약점을 증명한다, Codex 보안 리뷰의 방식
기존 보안 도구는 diff(변경분)만 보고 패턴 매칭으로 취약점을 찾는다. Codex는 저장소 전체 맥락과 프로젝트별 위협 모델을 활용한다. 공격자의 진입점·신뢰 경계·민감 데이터·영향력 큰 코드 경로를 파악해 실제 공격 경로를 탐색한다.
코드를 훑는 AI가 진짜 취약점만 남기는 3단계
1. 발견(Identification) — 저장소 분석, 위협 모델 구축, 공격 경로 탐색
2. 검증(Validation) — 격리 샌드박스에서 재현해 악용 가능성을 확인
3. 수정(Remediation) — 근본 원인을 고치는 최소 패치 제안 (자동 적용은 안 함, 사람 검토)
GitHub PR에 붙이기 전, 알아둘 설정과 범위
PR에 @codex security review라고 댓글을 달면 즉시 실행된다. 자동 실행도 설정 가능하다(PR 열릴 때, 또는 매 푸시마다). 발견된 문제는 PR 안에 인라인 코멘트로 표시된다.
Semgrep보다 3배, 무엇을 더 찾아냈나
독립 테스트에서 Codex Security Review는 74%의 진짜 버그 적중률을 기록했다. 같은 코드베이스에서 Semgrep은 20%, Snyk는 28%였다. 전통 SAST 도구는 오탐률이 30~70%인데, Codex는 문맥 기반 추론으로 오탐을 50% 이상 줄였다고 주장한다.
이미 발견된 CVE가 보여준 실전 성과
오픈AI는 내부 버전으로 GnuPG·GnuTLS·OpenSSH·PHP·Chromium 등 유명 오픈소스의 실제 CVE를 발견해 책임 공개했다고 밝혔다. 스캔 과정에서 중대 792건, 고위험 10,561건을 찾아냈다.
누가 지금 쓸 수 있나, 아직 남은 제약은
- 이용 가능: ChatGPT Enterprise·Edu·Business·Pro, 도입 기간 무료
- 미지원: Plus 플랜
- 한계: GitHub 전용, 대형 저장소 초기 스캔은 느림, 코드를 자동 수정하지 않음
PR 리뷰가 배포 전 방어선이 되는 순간
보안 검토가 '패턴 매칭'에서 '이해하고 검증하는 AI'로 넘어가는 전환점이다. 개발자가 PR마다 수동으로 보안을 보는 시대가, AI가 먼저 검증한 결과를 사람이 확인하는 시대로 바뀌고 있다.
관련: OpenAI 도움말 · Cybersecurity News · X 포스트
