1. Codex Security란 무엇인가? — 기존 보안 도구와 결정적 차이

Codex Security는 OpenAI가 2026년 3월 6일 공개한 AI 기반 보안 에이전트로,
깃허브(GitHub) 저장소에 직접 연결해 취약점을 찾아내고 수정 패치까지 자동으로 제안하는 도구입니다.
기존 정적 분석(SAST) 도구나 시그니처 기반 스캐너가 이미 알려진 패턴만을 찾아내는 방식과는 근본적으로 다릅니다.
Codex Security는 코드 전체의 맥락(context)을 읽고 공격자 관점에서 실제 공격 경로를 탐색합니다.

핵심 차별점은 ‘위협 모델(Threat Model)’을 자동 생성한다는 데 있습니다. 저장소와 커밋 이력을 분석해
공격자 진입 지점, 신뢰 경계, 민감 데이터 흐름, 고위험 코드 경로를 지도처럼 그려냅니다.
그 지도를 바탕으로 현실적인 공격 시나리오에만 집중하기 때문에, 팀이 실제로 중요하지 않은 경고(false positive)에 시간을 낭비하는 일이 크게 줄어듭니다.

OpenAI가 이 프로젝트를 처음 시작한 것은 2025년 10월, 내부 연구 프로젝트 ‘Aardvark’를 통해서였습니다.
Aardvark는 대규모 코드베이스에서의 취약점 탐지 가능성을 탐색한 선행 연구였으며,
Codex Security는 그 성과를 실제 제품으로 발전시킨 결과물입니다.
개인적으로 이 흐름이 중요한 이유는, OpenAI가 단순히 ‘언어 모델 회사’에서 벗어나
개발 인프라 전반을 장악하려는 전략적 움직임을 분명히 드러내기 시작했기 때문입니다.

▲ 목차로 돌아가기

2. 베타 30일 성과 수치 — 숫자로 보는 실전 능력

OpenAI는 Codex Security 공식 출시와 함께 베타 테스트 기간 30일 동안의 성과 수치를 공개했습니다.
단순한 마케팅 수치가 아니라, 외부 저장소를 대상으로 한 실제 운영 데이터이기 때문에 주목할 만합니다.
특히 기존 보안 도구 대비 오탐률(False Positive Rate)을 50% 이상 줄였다는 수치는,
보안팀이 실제로 체감하는 ‘경고 피로(Alert Fatigue)’ 문제를 정면으로 겨냥한 성과입니다.

같은 저장소를 반복 분석했을 때 시간이 지날수록 탐지 정확도가 향상된다는 점도 눈여겨봐야 합니다.
Codex Security는 단순히 코드를 한 번 스캔하고 끝내는 것이 아니라,
위협 모델을 지속적으로 개선하며 학습하는 구조를 가지고 있습니다.
실제 탐지된 오픈소스 프로젝트로는 OpenSSH, libssh, PHP, Chromium 등 전 세계 수억 명이 사용하는
핵심 인프라가 포함되어 있어 그 파급력이 작지 않음을 알 수 있습니다.

솔직한 평가를 하자면, 792건의 Critical 취약점 중 인간 보안 연구자가 먼저 발견했을 케이스가
얼마나 되는지는 아직 독립적인 검증이 이루어지지 않았습니다.
하지만 GnuTLS, Gnupg 등 실제 CVE 번호(Common Vulnerabilities and Exposures)가 발급된 취약점들이
포함되어 있다는 것은 이것이 단순한 과장이 아님을 증명합니다.

▲ 목차로 돌아가기

3. 작동 원리 6단계 — AI가 취약점을 잡는 방법

Codex Security의 동작 방식은 크게 6단계로 구성됩니다. 단순한 정적 분석이 아니라
취약점 식별(Identification) → 검증(Validation) → 수정(Remediation)의 ‘닫힌 루프(Closed-Loop)’를
완성하는 것이 핵심 설계 철학입니다.
각 단계를 이해하면, 이 도구가 왜 기존 보안 스캐너와 근본적으로 다른지 명확히 알 수 있습니다.

• 1
  
  저장소 스캔 및 위협 모델 구축: GitHub 저장소에 연결하면 최신 커밋부터 역순으로 전체 이력을 스캔합니다.
  이 과정에서 공격자 진입 지점, 신뢰 경계, 민감 데이터 위치, 고위험 코드 경로를 포함한
  프로젝트 전용 위협 모델을 자동으로 구성합니다. 팀이 이 모델을 직접 열람하고 수정할 수 있어
  실제 배포 환경에 맞게 세밀하게 조정할 수 있습니다.
  
• 2
  
  공격 경로 탐색 및 취약점 발견: 구성된 위협 모델을 바탕으로 현실적인 코드 경로를 탐색하며
  잠재적 취약점을 식별합니다. 단순히 코드 패턴을 찾는 것이 아니라
  공격자가 실제로 악용할 수 있는 경로인지를 추론합니다.
  
• 3
  
  샌드박스 환경에서 취약점 검증: 발견된 잠재적 취약점을 그냥 보고하지 않습니다.
  격리된 샌드박스 환경에서 실제로 재현을 시도하고, 익스플로잇 가능성을 확인한 뒤에만 팀에 알립니다.
  이 단계가 오탐률을 획기적으로 낮추는 핵심입니다.
  
• 4
  
  공격 경로 분석 및 우선순위 부여: 각 취약점에 대해 공격자가 제어하는 입력값이
  어떻게 민감한 결과로 이어지는지를 단계별로 시각화합니다.
  가능성(Likelihood)과 영향도(Impact)를 기준으로 점수를 매겨 팀이 가장 위험한 것부터 대응할 수 있게 합니다.
  
• 5
  
  최소 패치 자동 생성 및 사람 검토: 검증된 취약점에 대해 근본 원인을 해결하는 최소한의 패치를 제안합니다.
  중요한 점은, 코드를 자동으로 수정하지 않는다는 것입니다. 패치는 반드시 사람의 검토를 거쳐야 하며,
  팀의 기존 워크플로우에 맞게 풀 리퀘스트(Pull Request)로 올릴 수 있습니다.
  
• 6
  
  패치 병합 후 재검증: 패치가 병합된 이후에도 Codex Security는 해당 취약점이 실제로 수정되었는지
  다시 한번 검증합니다. 탐지에서 수정 확인까지 루프를 완전히 닫는 이 구조가
  기존 도구들과의 가장 큰 차별점입니다.
  

▲ 목차로 돌아가기

4. 누가 쓸 수 있나? — 요금제별 접근 방법 완벽 정리

Codex Security는 현재 연구 프리뷰(Research Preview) 상태로, 모든 ChatGPT 사용자에게 무조건 개방되어 있지는 않습니다.
이용 가능 여부가 요금제에 따라 달라지기 때문에, 본인의 플랜을 먼저 확인하는 것이 필요합니다.
아래 표를 통해 접근 가능 여부를 한눈에 확인하세요.

시작 방법 (ChatGPT Pro 기준)

이용 가능 요금제라면 시작은 매우 간단합니다.
chatgpt.com/codex/security에 접속한 뒤, 스캔하려는 GitHub 저장소를 연결하고
초기 스캔이 완료될 때까지 기다리면 됩니다. 대형 프로젝트의 경우 초기 스캔에 시간이 걸릴 수 있으며,
이후 신규 커밋에 대한 스캔은 훨씬 빠르게 수행됩니다.
Enterprise 및 Edu 워크스페이스의 경우, 관리자가 워크스페이스 설정 → 권한 탭에서
‘Codex Security 허용’을 활성화해야 구성원이 이용할 수 있습니다.

▲ 목차로 돌아가기

5. 실제로 발견한 CVE 목록 — 어떤 취약점을 잡았나

Codex Security가 실제로 발견하고 CVE(Common Vulnerabilities and Exposures) 번호가 발급된 취약점 목록은
이 도구의 실력을 가장 객관적으로 보여주는 지표입니다.
단순한 코드 스타일 경고나 이론적 취약점이 아니라, 실제 오픈소스 프로젝트에서 발견되어
보안 커뮤니티에 공식 등록된 취약점들입니다.

이 목록에서 특히 주목해야 할 부분은 GnuTLS와 GnuPG입니다.
두 라이브러리는 리눅스 생태계 전반에서 TLS 암호화 통신과 GPG 서명 검증에 핵심적으로 사용되는
기반 라이브러리이기 때문에, 이곳에서 발견된 취약점은 그 영향 범위가 수천만 시스템에 달할 수 있습니다.
Codex Security가 이런 저수준(Low-level) C/C++ 코드에서도 유의미한 취약점을 발굴할 수 있다는 점은
기존 AI 코드 도구들이 도달하지 못했던 영역입니다.

▲ 목차로 돌아가기

6. Claude Code Security와의 비교 — 어느 게 더 낫나

Codex Security 출시 직전, Anthropic 역시 ‘Claude Code Security’를 공개하면서
AI 보안 에이전트 시장에서 두 회사의 정면 경쟁이 시작되었습니다.
두 도구 모두 아직 초기 단계이지만, 접근 방식과 현재 기능 측면에서 분명한 차이가 있습니다.

현 시점에서 객관적으로 평가하면, Codex Security는 기업 환경(Enterprise)에서의
워크플로우 통합과 위협 모델 편집 가능성에서 앞서 있습니다.
반면 Claude Code Security는 Claude Code CLI와의 긴밀한 연동을 선호하는
개발자 중심 팀에 더 자연스러운 선택이 될 수 있습니다.
오픈소스 프로젝트를 운영하는 분이라면, Codex Security의 공식 신청 폼을 통해 무료로 이용할 수 있다는 점도 기억하세요.

▲ 목차로 돌아가기

7. 실무자 관점 총평 — 진짜 쓸 만한가?

솔직하게 말하면, Codex Security는 ‘기존 보안 스캐너를 당장 대체할’ 도구가 아닙니다.
아직 연구 프리뷰 상태이고, GitHub Cloud 저장소만 지원하며, 대형 프로젝트는 초기 스캔에 시간이 걸립니다.
무엇보다 AI가 생성한 패치 PR이 회귀(Regression)를 일으키지 않도록
반드시 기존 코드 리뷰 프로세스를 병행해야 합니다.

그러나 ‘추가 레이어(Additional Layer)’로서의 가치는 매우 뚜렷합니다.
기존 SAST/DAST 도구가 놓치는 복잡한 맥락 기반 취약점, 특히 멀티 컴포넌트 간 신뢰 경계 문제나
공격 연쇄(Attack Chain) 취약점을 탐지하는 데서 AI의 이점이 확실히 드러납니다.
실제로 발급된 CVE 번호들이 이를 증명하고 있습니다.

개인적인 전망으로는, Codex Security가 6개월에서 1년 사이에 소규모 개발팀의 보안 리뷰 비용을
현재의 절반 이하로 낮추는 데 기여할 가능성이 높다고 봅니다.
특히 전담 보안 엔지니어를 채용하기 어려운 스타트업이나 오픈소스 유지 관리자들에게는
지금 당장 무료 베타를 체험해볼 충분한 이유가 있습니다.
다만, AI가 제안하는 패치를 무비판적으로 병합하면 새로운 취약점을 만들어낼 수 있다는 점은
반드시 기억하셔야 합니다.

▲ 목차로 돌아가기