OpenAI rende pubblico il suo strumento per trovare vulnerabilità, accessibile da qualsiasi terminale
Codex Security CLI è distribuito con licenza Apache 2.0, analizza repository, verifica le correzioni e si integra nelle pipeline CI. Lo stesso sistema ha già contribuito a risolvere oltre 3.000 vulnerabilità critiche.
OpenAI ha pubblicato come open source Codex Security CLI con licenza Apache 2.0. Lo strumento da riga di comando aiuta i team di sicurezza e sviluppo a trovare, confermare e correggere vulnerabilità nei repository di codice. Può analizzare un repository, confrontare i risultati di più scansioni, verificare che una correzione funzioni e inserire i controlli di sicurezza nelle pipeline CI/CD, cioè nei sistemi automatici che testano e distribuiscono il software dopo ogni modifica. Permette inoltre scansioni su larga scala di più repository. Richiede Node.js 22 e Python 3.10 o versioni successive, si installa tramite npm ed è ancora in beta.
Dietro il nuovo nome non c’è un sistema nuovo. Codex Security era conosciuto internamente come «Aardvark» ed era stato presentato nel marzo 2026 come anteprima di ricerca riservata ai clienti ChatGPT Enterprise, Business ed Edu. Ad aprile OpenAI dichiarava che aveva già contribuito a correggere più di 3.000 vulnerabilità critiche. La licenza aperta lo porta ora fuori dagli abbonamenti aziendali e lo mette alla portata di singoli maintainer, piccoli team e di quei progetti open source da cui dipendono, spesso senza saperlo, ampie parti di Internet.
Il quadro competitivo è semplice: Anthropic offre Claude Security, uno strumento che analizza le basi di codice e propone correzioni. Le due aziende stanno costruendo lo stesso prodotto per lo stesso motivo, emerso già due volte nelle notizie di questo mese. I modelli di IA stanno diventando bravi a individuare vulnerabilità nel software. In mano a chi difende è utile; in mano a chi attacca è preoccupante. Durante una valutazione interna, i modelli di OpenAI sono riusciti a penetrare nei sistemi di Hugging Face sfruttando una falla zero-day in un proxy di cache. Se l’attacco automatizzato è già una realtà, anche la difesa automatizzata deve essere disponibile su larga scala, altrimenti lo squilibrio diventa rapidamente pericoloso.
C’è però un limite da dichiarare apertamente: uno strumento capace di scoprire una vulnerabilità indica anche dove si trova. Pubblicarlo come open source abbassa la barriera sia per chi protegge sia per chi attacca. OpenAI e Anthropic scommettono che la distribuzione ampia favorisca soprattutto i difensori, perché gli attaccanti meglio finanziati dispongono già di capacità simili, mentre gran parte di chi difende non le ha. È un’ipotesi ragionevole. Resta comunque una scommessa.
Cosa significa per te: Se non scrivi codice, questa novità non cambia la tua giornata. Offre però una risposta concreta a una preoccupazione diffusa: se l’IA rende più facili gli attacchi informatici, gli stessi laboratori stanno almeno distribuendo gratuitamente la sua controparte difensiva. Se programmi, anche soltanto un piccolo progetto personale con qualche dipendenza, vale la pena dedicarle una serata. Essendo una beta, aspettati spigoli e falsi allarmi: considera i risultati come piste da verificare, non come verdetti. Provala su un progetto che mantieni e guarda che cosa trova.
Fonti
I nuovi modelli di trascrizione OpenAI sono più veloci e costano il 25% in meno, ma non sono i più precisi
GPT Transcribe e GPT Live Transcribe portano il prezzo a 0,0045 dollari al minuto e raggiungono un tasso di errore sulle parole del 3,31%. ElevenLabs, Google e Mistral ottengono risultati migliori.
