OpenAI ouvre son outil de chasse aux vulnérabilités à toute personne disposant d’un terminal
Codex Security CLI, sous licence Apache 2.0, analyse les dépôts, vérifie les correctifs et s’intègre aux chaînes CI. C’est le système qui a contribué à corriger 3 000 failles critiques.
OpenAI publie Codex Security CLI en open source sous licence Apache 2.0. Cet outil en ligne de commande aide les équipes de sécurité et de développement à trouver, confirmer et corriger les vulnérabilités dans les dépôts de code. Il peut analyser un dépôt, comparer plusieurs passages, vérifier qu’un correctif fonctionne réellement et intégrer les contrôles aux chaînes CI/CD, ces systèmes automatisés qui testent et livrent le code après chaque modification. Les analyses en masse de plusieurs dépôts sont aussi prévues. L’outil nécessite Node.js 22 et Python 3.10 ou plus récent, s’installe avec npm et reste en bêta.
Le système n’est pas nouveau, seul son nom public l’est. Connu en interne sous le nom d’« Aardvark », Codex Security a été lancé en mars 2026 sous forme d’aperçu de recherche limité aux clients ChatGPT Enterprise, Business et Edu. En avril, OpenAI indiquait qu’il avait aidé à corriger plus de 3 000 vulnérabilités critiques. La licence ouverte le fait sortir de l’offre pour grandes entreprises et le rend accessible aux mainteneurs indépendants, aux petites équipes et aux projets open source dont dépend discrètement une grande partie d’Internet.
La concurrence est facile à lire : Anthropic propose Claude Security, qui analyse lui aussi les bases de code et suggère des correctifs. Les deux sociétés construisent le même produit pour la même raison, apparue deux fois dans l’actualité ce mois-ci. Les modèles deviennent efficaces pour découvrir des failles logicielles. C’est utile du côté des défenseurs et inquiétant chez les attaquants. Pendant une évaluation interne, des modèles d’OpenAI ont pénétré Hugging Face en exploitant une faille zero-day dans un proxy de cache. Si l’attaque automatisée est désormais réelle, la défense automatique doit être au moins aussi largement diffusée, faute de quoi l’asymétrie devient vite dangereuse.
Le risque doit être dit clairement : un outil qui trouve des vulnérabilités apprend aussi où elles se trouvent. L’ouverture réduit la barrière pour tout le monde, défenseurs comme attaquants. OpenAI et Anthropic parient que la diffusion générale profitera davantage aux premiers, puisque les attaquants bien équipés disposent déjà de ces capacités tandis que la plupart des défenseurs n’y ont pas accès. Le pari est raisonnable, mais il reste un pari.
Ce que cela signifie pour vous : Si vous ne programmez pas, rien ne change dans votre journée, mais l’annonce apporte un contrepoids concret à une crainte courante. À la question « l’IA facilitera-t-elle le piratage ? », les mêmes laboratoires répondent désormais en distribuant gratuitement la version défensive. Si vous écrivez du code, même pour un petit projet personnel avec des dépendances, consacrez-lui une soirée. La bêta comporte forcément des aspérités et des faux positifs : considérez ses résultats comme des pistes à examiner, pas des verdicts. Lancez une analyse sur un projet que vous maintenez et regardez ce qu’elle trouve.
Sources
Les nouveaux modèles de transcription d’OpenAI sont plus rapides et 25 % moins chers, mais pas les plus précis
GPT Transcribe et GPT Live Transcribe abaissent le prix à 0,0045 dollar par minute et atteignent un taux d’erreur de 3,31 %. ElevenLabs, Google et Mistral font mieux.
