Daybreak Blueで脆弱性を探す。OpenAIの「Codex Security Cloud」を使ってみました

Writer：maekawa　更新日：2026/10/26

OpenAIの「Codex Security Cloud」は、GitHubのリポジトリを対象にコードの脆弱性を調べるためのツールです。今月に入ってアップデートされたようで、実際の新しい画面を元に主なCodex Security Cloudの機能を紹介します。

※2026年10月前半の利用記録です。ChatGPTは、プランやアカウントによって機能の提供状況が異なります。本記事で紹介する画面や機能が、お使いの環境ではまだ表示されない場合もあります。

Codex Security Cloudへの遷移と各画面の内容

以前はCodex Cloud の一部機能としてCodex Cloud内からセキュリティメニューに遷移する仕様でしたが、今回のアップデートでChatGPTのメニューに「セキュリティクラウド」が追加されたようです。ここから「Codex Security Cloud」に遷移します。

※Codex Security Cloudは、ChatGPTから利用できるプラグインです。利用にはワークスペースでのアクセス権とGitHub連携が必要になります。

Findings

メイン画面兼スキャン結果のサマリ画面が「Findings」です。指摘の重要度と対応状況がグラフにまとまっています。全体の状況を見てから気になる点を個別に確認していけます。本画面は、スキャン実行後の画面のために既に結果が表示されている状態です。

Repositories

結果だけでなく、スキャンの対象を確認したいときは「Repositories」に切り替えます。ここには対象のリポジトリが一覧で表示され、それぞれ継続スキャンが有効になっているかも確認できます。

Scans

対象リポジトリのスキャン状況は、「Scans」で確認できます。開始日時や対象リポジトリ、実行者に加え、所要時間・使用トークン数・実行状況が一覧にまとまっています。

スキャン方法と使用モデルを設定

Findings/Repositories/Scansどの画面にも「Scan(New Scan)」というボタンが右上あります。この「Scan」を押すと、対象のリポジトリ等スキャン内容を設定する画面が開きます。

一度だけ調べる場合は「One-Time Scan」、新しいコミットを継続的に調べる場合は「Continuous Scanning」を選びます。

注意しなければならないのは、「One-Time Scan」においてはスキャン対象となるブランチを選択することが出来ません。実行時点では、GitHub上でデフォルトブランチとして指定されているブランチが対象になる仕様でした。

使用モデルは「Model」欄で確認できます。今回のスキャンでは、「GPT-5.6 Sol（Daybreak Blue）」 を利用しました。

Daybreak Blueの利用に必要な準備

Daybreak Blueの利用には、TAC（Trusted Access for Cyber）への申請と承認が必要です。

免許証での本人確認書類による確認に加え、セキュリティに関する業務内容や利用目的などの説明を求められる場合があります。本人確認が完了すれば、そのまま利用できるというわけではなく、OpenAIによる審査・承認を経て利用可能になります。

また、筆者のTAC Individualアカウントに届いた案内では、次の設定が必要とされていました。

• OpenAI Advanced Account Securityを有効にする。
• FIDO準拠の物理ハードウェアセキュリティキーを登録し、そのキーで認証する。

この案内では、PCやスマートフォンのパスキー、同期パスキーだけでは条件を満たしません。物理キーの登録に加えて、そのキーを使った認証が必要とされています。筆者は、YubicoのSecurity Key C NFCを利用しています。破損や紛失に備え2本所持することが推奨されています。

スキャン結果

スキャンが終わると、指摘が一覧に並びます。右側には、実行時間やコストなども表示されます。

個別の指摘を開くと、次の内容を確認できます。

項目	内容
Summary	指摘の概要
Root Cause	原因
Attack Path	問題につながる操作や経路
Validation	検証内容・根拠
Remediation	修正案
Affected Locations	関係するファイルやコードの場所

指摘の説明は英語で表示さます。セキュリティやプログラミングの専門知識も含まれるため、内容を読み解くには対象システムの仕様や実装に関する知識も必要です。

例えば権限まわりの指摘であれば、「どのユーザーが」「どの操作によって」「本来アクセスできないどの情報や機能にアクセスできてしまうのか」を確認します。「Root Cause」や「Attack Path」の説明を、実際のコードや権限設定と照らし合わせ、指摘されている問題が起こり得るかを判断していきます。

なお、以前のUIにあったGitHubへのIssue発行のボタンは新しい画面では見当たりませんでした。

「Outputs」からレポートを確認・出力

「Outputs」タブでは、スキャンで作成されたレポートや関連ファイルの確認・ダウンロードができます。

report.mdに今回のスキャンのサマリがまとまっています。スキャン対象、確認範囲、制約、検出結果などの記載があります。ダウンロードも可能です。

これまで、メンバーや実装者への共有は個々指摘をコピペしたり1つ１つIssueをあげて共有するしか方法が無かったと思うのですが、まとめて行える点はかなり便利になったと思います。

レポートに加えて、次の3つのJSONファイルも出力されていました。基本的には見る必要はないと思われます。公式のCodex Security資料では、それぞれ次の役割が説明されていました。

ファイル	主な役割
scan-manifest.json	スキャンの対象や実行状況、出力ファイルなどの管理情報を記録
findings.json	検出した指摘や重要度、該当箇所、検証内容、修正案などを記録
coverage.json	確認した範囲や対象外の範囲、保留した調査、未解決の確認事項などを記録

例えば、scan-manifest.jsonを開くと、今回の画面では出力ファイルの名前・形式・ハッシュ値（SHA-256）、スキャンの完了日時、生成ツールの名前やバージョンなどを確認できました。

まとめて取得するためのscan-bundle.tar.gzも用意されています。今回ダウンロードして解凍したところ、上記紹介した4つのファイルのほか、result.sarifが含まれていました。このファイルは、静的解析ツールの出力結果に使われるSARIF形式のファイルです。対応するツールに検出結果を取り込む際に利用できます。

使用量と料金の確認

スキャン結果には使用量やコストも表示されます。今回の実行例では、「38万トークン、27.78米ドル、21分」という結果が表示されています。今回の対象は、画面・API・認証処理などのアプリ本体が約2万行、テストや運用スクリプト、インフラ設定などを含めると約3.3万行のWebアプリケーションでした。（空行・コメントを含む）

公式FAQでは、対象のクラウドスキャンはトークン使用量に応じた課金で、プランの通常の利用枠には含まれないとされています。（表示コストは無料クレジットや課金免除が適用される前の値です。保持クレジットや割引等が無い場合、本金額が請求されます。）

※これまで本機能は、各月額サブスクリプションプランで実行できましたが、月額料金の体系から外れてしまったようです。移行期間として10月半ばまではこれまでのリポジトリに対して無償で利用が出来ました。

まとめ

今回使ってみて印象に残ったのは、指摘内容の具体性です。

ZAPや静的解析ツールの指摘は一般的なものも多く検知され、「このアプリケーションで実際に問題になるのか」という判断が求められます。既存の対策や権限設定、業務上の利用条件と照らし合わせると、脆弱性が成立しないケースもあり、その確認に手間がかかることがあります。

Codex Securityはアプリケーションの実装に踏み込み、問題が起こる条件や原因、修正の方向性まで具体的に示してくれます。指摘を受け取った後、どのコードを読み、何を確かめればよいのかが見えやすく、調査を進めるうえで役立つと感じました。

一方、今回のスキャンで表示されたコストは27.78ドルでした。頻繁に実行するとなると費用は気になります。それでも、コードを読み解き、問題の原因や影響を調べる手間を考えると、セキュリティレビューを補助するツールとして活用する価値を感じました。

日々のCI/CDのライフサイクルに組み込むにはコストが気になる所ですが、人力で見つけることはほぼ不可能と言っていい内容まで検知をしてくれるのでリリース前など特定のタイミングで利用するのがよさそうです。