Codex Security Cloud: busca el fallo y trae el parche

Un escáner que no espera a que nadie lo lance

El producto va dirigido a los equipos de seguridad y la idea que vendió OpenAI en el DevDay es la de dar a los defensores mejores herramientas para blindar su infraestructura. Lo que hace es buscar vulnerabilidades sin parar en entornos de nube y dejar preparados arreglos verificados para que alguien los revise.

El escaneo tiene tres formas de arrancar. Se le puede pedir un repositorio completo de GitHub, la plataforma de alojamiento de código de Microsoft, se puede programar para que lo repase cada cierto tiempo y se puede poner a vigilar los cambios nuevos a medida que llegan, revisando además los días de historial que se le indiquen. Como todo eso ocurre en máquinas de OpenAI, sigue trabajando con el ordenador apagado.

Lo que se encuentra no se queda en una lista cruda. Cada hallazgo se abre con el código afectado, las pruebas que lo confirman y las indicaciones para corregirlo, y la compañía presume de haber añadido lo que más le habían pedido: deduplicación automática, escaneos programados y una interfaz nueva.

Del hallazgo al parche, con una persona en el último paso

Cuando un hallazgo admite arreglo, aparece la opción de que Codex lo escriba: genera un parche propuesto y, una vez revisado, lo deja como propuesta de cambio en borrador en el repositorio. Nada entra solo. Quien decide si eso se funde con el código del proyecto es una persona, y el borrador existe precisamente para que ese paso siga siendo manual.

Hay una pieza en la que conviene fijarse por lo que implica: la validación. OpenAI dice que no entrega el aviso en bruto, sino investigado, con las pruebas de que el problema es real y con el arreglo comprobado antes de proponerlo. Es su palabra: la compañía no ha publicado evaluación independiente de cuántos hallazgos se sostienen y cuántos quedan en falsa alarma.

Las cifras que puso OpenAI detrás de esa validación no están en su documentación, sino en una sesión técnica del DevDay, recogida en las notas en directo que publicó ese día desde la sala el programador Simon Willison: la compañía contó que hace un par de meses metió a una cuarta parte de sus ingenieros de producto en un sprint interno de seguridad, que el primer día arreglaron 53 hallazgos críticos y que de ahí salen las mejoras de esta versión. De los parches automáticos dijo que solo hubo que deshacer el 1 %, gracias a una orden que pone un agente a atacar el propio arreglo antes de darlo por bueno. Son datos de parte y OpenAI no los ha publicado.

El montaje pasa por un plugin, GitHub y un entorno en la nube

El montaje está documentado paso a paso y no es inmediato. Se instala el plugin desde el mercado de plugins de ChatGPT, en la web o en la aplicación de escritorio, y si no aparece, la guía manda preguntar al administrador del espacio de trabajo. Después hay que tener Codex en la nube configurado para ese espacio, conectar GitHub y conceder acceso a los repositorios que se quieran escanear.

Cada escaneo necesita un entorno de nube compatible, y si no hay ninguno, hay que crearlo antes. En la pantalla de escaneo se elige entre repasar el repositorio entero, que es lo que viene por defecto, o seguir los cambios que vayan entrando; los ajustes de vigilancia permiten cambiar de entorno, fijar cuántos días de historial se revisan y pausar o reanudar la vigilancia.

La herramienta también se deja enseñar. En el apartado de contexto del proyecto se puede revisar y editar el modelo de amenazas que ella misma genera, y de ahí sale la prioridad que le pone a cada hallazgo. En esa misma sesión del DevDay, OpenAI describió dos piezas que no figuran en la documentación consultada: una base de conocimiento de seguridad con detalles de arquitectura que no se ven leyendo el código y el uso de ficheros SECURITY.md para que el responsable de cada producto escriba su propio modelo de amenazas y sus pautas.

Para quien no quiera pasar por la nube, hay otras dos vías que OpenAI mantiene aparte: un plugin distinto que escanea un repositorio local desde la aplicación de escritorio o el terminal, y la herramienta de línea de órdenes de Codex Security, que según The Decoder la compañía publicó como código abierto en julio para analizar repositorios desde el terminal y dentro de las cadenas de integración y despliegue continuos.

Cuatro planes, ningún precio por escaneo

Las dos listas están en el mismo documento y no dicen lo mismo. En el resumen de anuncios de OpenAI, la ficha del escáner lo da para «todos los usuarios Pro, Business, Enterprise y Edu, en escritorio y web»; tres fichas más arriba, la de Codex en la nube suma Plus y Healthcare. Plus y Healthcare tienen, por tanto, la nube donde se ejecutan los escaneos, pero no el escáner. OpenAI no ha explicado ese corte.

El coste, de nuevo, es el del plan y no el de la herramienta: no hay licencia de Codex Security Cloud ni tarifa por escaneo, y el acceso a Daybreak Blue viene con él sin sobreprecio publicado ni solicitud aparte. Lo que no está dicho en ningún sitio es cuántos escaneos entran en una suscripción, cuánto consume vigilar un repositorio a diario o qué pasa al agotar lo incluido, más allá del mecanismo general de la casa: lo incluido se gasta primero y después se tira del saldo de créditos, cuando la cuenta los tiene.

Esa opacidad no es un detalle menor en un producto así. Un escáner que se programa para pasar cada día por todos los repositorios de una empresa es, por definición, consumo recurrente, y hoy no hay forma de estimar la factura con lo publicado.