OpenAI explica por qué Codex Security no usa el análisis SAST tradicional

OpenAI ha publicado una explicación detallada de la decisión de arquitectura que distingue a Codex Security de las herramientas tradicionales de análisis de código. En lugar de los sistemas SAST estándar (análisis estático del código fuente), la compañía optó por un enfoque basado en el razonamiento de IA sobre restricciones, y detalló sus motivos.

Las herramientas SAST tradicionales funcionan por coincidencia de patrones: buscan en el código patrones de vulnerabilidad conocidos y emiten advertencias. Este enfoque existe desde hace décadas y se maneja razonablemente bien con los problemas evidentes, como las inyecciones SQL, el uso inseguro de funciones o las fugas de búfer. Sin embargo, tiene un defecto fundamental: una cantidad colosal de falsos positivos.

Los falsos positivos son advertencias sobre vulnerabilidades que no existen. Según datos del sector, en bases de código maduras las herramientas SAST pueden generar entre un 80 % y un 90 % de falsas alarmas. Los equipos de seguridad tienen que revisar a mano cientos de advertencias, la mayoría de ellas ruido. Eso no es solo ineficiente: crea el peligroso fenómeno de la «fatiga de alertas», en el que las vulnerabilidades reales se pierden en el torrente de las falsas.

Codex Security resuelve el problema de forma radicalmente distinta. En lugar de comparar patrones, el sistema usa razonamiento de IA sobre restricciones: analiza cómo se mueven los datos por el sistema, qué invariantes deben cumplirse y si, en un contexto de ejecución concreto, puede surgir una vulnerabilidad real. La pregunta no es «¿he visto este patrón antes?», sino «¿es posible una violación de seguridad teniendo en cuenta toda la lógica del programa?».

Además, Codex Security añade una fase de validación: antes de informar de una vulnerabilidad, el sistema comprueba si la explotación es realmente posible en ese contexto. Así se elimina toda una clase de falsos positivos inevitables en un enfoque puramente estático.

¿Por qué OpenAI no añadió también un informe SAST tradicional? La compañía explica que mezclar los dos enfoques genera confusión. Si el sistema basado en IA dice «no se encontró ninguna vulnerabilidad» y el SAST emite 200 advertencias, el usuario no sabe a quién creer. Un enfoque único es más honesto y más eficaz.

La decisión refleja un debate más amplio en el sector de la seguridad: hasta qué punto la IA puede sustituir o mejorar las herramientas clásicas. Codex Security es uno de los primeros casos documentados públicamente en que una gran empresa abandona deliberadamente un estándar consolidado en favor de un enfoque nativo de IA y explica con transparencia sus razones.

Para el sector, es una señal: la competencia entre los proveedores tradicionales de SAST (Checkmarx, Semgrep, Snyk) y las herramientas de seguridad nativas de IA se vuelve real. Si el razonamiento de IA reduce de verdad los falsos positivos sin perder cobertura, la propuesta de valor de los escáneres clásicos quedará en entredicho.