OpenAI, Akhirnya 'Open' Lagi!
Baru-baru ini, OpenAI secara resmi mengumumkan: mereka telah diam-diam merilis alat keamanan kode sumber terbuka — Codex Security CLI.
Sebelumnya, seseorang di Hacker News menemukannya terlebih dahulu, diskusi langsung meledak, dan bintang di GitHub terus melesat hingga 1.2k.
Melihat sudah tak bisa disembunyikan lagi, OpenAI akhirnya mengakui sendiri.
Alamat GitHub: https://github.com/openai/codex-security
Beberapa hari lalu, Jensen Huang sendiri turun tangan, secara terbuka menyatakan dukungan untuk AI sumber terbuka, kemudian OpenAI menyusul bergabung dengan kamp tersebut.
Tak disangka, kejutan datang secepat ini, karya masterpiece sumber terbuka yang berat langsung disajikan.
Harus diakui, ucapan Huang memang punya bobot!
Alat Keamanan Kode OpenAI, Sudah Sumber Terbuka
'Pemeran utama' yang dibuka sumbernya kali ini adalah codex-security, sebuah CLI plus TypeScript SDK.
Fungsi intinya sangat lugas, mengusung 'serangkaian kombinasi': secara otomatis menemukan kerentanan, memverifikasi kerentanan, dan memperbaiki kerentanan di basis kode.
Siap pakai, hanya perlu tiga perintah untuk menjalankan seluruh alur kerja:
- npm install @openai/codex-security
- npx codex-security login
- npx codex-security scan .
Untuk menjalankan CI tidak perlu login, cukup konfigurasikan OPENAI_API_KEY.
Prasyaratnya adalah Node.js versi 22 ke atas, Python 3.10 ke atas, ditambah izin akses Codex Security.
1.2 Juta Komitmen, 792 Kerentanan Kritis
Secara ketat, Codex Security bukanlah 'spesies baru'.
Ia berasal dari proyek uji coba tertutup Aardvark pada Oktober 2025, dan berganti nama menjadi versi pratinjau penelitian pada 6 Maret tahun ini.
Titik paling tangguh dari alat ini terletak pada posisinya — agen kecerdasan keamanan aplikasi.
Codex Security akan benar-benar menyelami lapisan bawah, membaca kode Anda, memahami apa yang sebenarnya dilakukan sistem Anda. Alur kerjanya terdiri dari tiga langkah:
Pertama membaca seluruh repositori, menghasilkan model ancaman yang dapat diedit, untuk memahami apa yang dilakukan proyek ini dan di mana bagian yang paling terekspos;
Kemudian berdasarkan konteks ini, mencari kerentanan, dan mengklasifikasikannya berdasarkan dampak di dunia nyata;
Terakhir, menempatkan masalah yang mencurigakan ke dalam sandbox untuk diuji beban secara nyata, yang tidak dapat diverifikasi tidak dilaporkan.
Dari rekam jejaknya, ia memang cukup tangguh.
Dalam 30 hari pertama setelah diluncurkan, ia memindai lebih dari 1,2 juta komitmen, menemukan 792 temuan tingkat kritis, dan 10.561 temunan tingkat tinggi.
OpenAI juga menyebutkan, pada repositori yang sama yang dipindai berulang kali, tingkat positif palsu turun lebih dari 50%.
Orang-Orang Pertama yang Mencicipi, Tagihan Meledak
Bagaimanapun bagusnya 'janji' resmi, tak tahan dengan 'kasus nyata' yang langsung bermunculan dari para pengembang.
Di HN, seorang pengembang bernama gregwebs mencoba dengan repositori kecil, dan langsung menampilkan log terminal yang menyedihkan.
Dimulai pada detik ke-0 menit ke-3, memasuki pemindaian pada menit ke-1 detik ke-20, kemudian berjalan hingga menit ke-52 detik ke-47, akhirnya muncul baris teks merah — HEAD repositori berubah selama pemindaian, silakan mulai ulang.
Satu jam berlalu sia-sia, dan satu kali ini langsung menghabiskan setengah dari kuota mingguan paket Pro-nya.
Yang lain, Quai, bahkan lebih parah, pemindaian baru dimulai sudah menabrak pembatasan laju akun, alat mencoba ulang selama satu menit lalu menyerah.
Alat memang memberi petunjuk 'sebagian hasil telah disimpan', tetapi dia tidak menemukan cara yang jelas untuk melanjutkan penggunaannya dalam pemindaian berikutnya. Proses yang gagal ini menghabiskan sekitar 13 dolar.
Mengapa bisa semahal ini? Lihat saja konfigurasi defaultnya langsung ketahuan.
Codex Security secara default memanggil gpt-5.6-sol, dan dengan kasar menarik 'kekuatan penalaran' hingga ke tingkat extra-high.
Perlu diketahui, Sol adalah tingkat dengan harga paling 'mewah' dalam keluarga GPT-5.6, harga API-nya mencapai $5/1M token masukan, $30/1M token keluaran.
Huang Memulai, OpenAI Melangkah Maju
Depan, Jensen Huang secara terbuka menyatakan dukungan untuk AI sumber terbuka, belakang, OpenAI langsung menyajikan Codex Security.
Namun, jangan terlalu berharap tinggi dengan 'sumber terbuka' kali ini.
Langkah OpenAI kali ini sangat cerdik: yang dibuka sumbernya adalah cangkang lapisan aplikasi, lapisan model masih dipegang erat di tangan mereka sendiri.
Bagaimanapun, kotak pandora Agent mengambil alih keamanan kode sudah terbuka.
Selanjutnya, lihat bagaimana para pengembang memodifikasi alat sumber terbuka ini, menggunakan sihir komunitas, untuk mengalahkan sihir OpenAI.
Referensi:
https://x.com/gdb/status/2082235089539526690?s=20
https://x.com/OpenAI/status/2082263717916586117?s=20
Artikel ini berasal dari akun WeChat publik "Xin Zhi Yuan", penulis: ASI Revelation
