OpenAIは2026年8月6日、GitHubのプルリクエストをセキュリティ面から詳しく調べる「Codex Security Review」を研究プレビューとして提供を開始した。この機能は、プルリクエストの差分だけでなく、リポジトリ内の関連情報や設定済みの脅威モデルも分析し、対応に役立つ指摘をGitHubのプルリクエスト画面にコメントとして投稿する。

対象プランはChatGPT Enterprise、Business、Edu、Proで、Plusでは利用できない。公式ドキュメントでは、提供開始当初はChatGPTのクレジットを消費しないが、使用量の上限が適用される場合があるとしている。

• Security Review – Codex Security | ChatGPT Learn

OpenAI共同創業者のGreg Brockman氏はXで、コードや企業のセキュリティ向上にAIモデルを活用する取り組みの一環として、今回の機能を紹介している。

Code Reviewよりセキュリティリスクを深掘り

Security Reviewは、GitHubのプルリクエスト向けのCode Reviewとあわせて利用できる。Code Reviewがコード全般の重大な問題に焦点を当てるのに対し、Security Reviewはセキュリティ固有のリスクをより詳しく調べる。Code Reviewでもセキュリティ上の問題を指摘する場合があるため、両者の指摘が一部重なることもある。

Security Reviewでは、アプリケーションの資産や信頼境界、セキュリティ上の前提、リポジトリ固有のリスクをまとめた脅威モデルを、レビューの前提情報として利用できる。リポジトリ内に保存した脅威モデルファイルのパスを指定できる。参照元を設定しない場合は、Codexがレビューのたびに脅威モデルを生成する。

利用するには、Codex cloudにサインインし、GitHubアカウントを接続してCodexがアクセスできるリポジトリを選び、対象リポジトリの環境を作成する。

手動でレビューを依頼する場合は、GitHubのプルリクエスト画面で次のコメントを投稿する。

@codex security review

GitHubのプルリクエスト画面では、Codexがレビュー中であることをリアクションで示し、設定した最低重大度以上の指摘をコメントとして投稿する。デフォルトの最低重大度は、手動レビューがMedium、自動レビューがHighに設定されている。

レビューの実行状況は、Codex cloudトップページの「セキュリティレビュー」タブにも一覧表示される。各レビューを開くと、検出結果の詳細や関連する差分、ログを確認できる。「⁠セキュリティレポート」タブには、検出内容の概要に加えて、重大度の調整、緩和ステップ、攻撃パス、検証結果が表示される。GitHubへの投稿基準を満たさなかった指摘も、この完全なレポートに含まれる。

リポジトリごとに自動レビューを設定

自動レビューは、Codex cloudの設定画面にある「リポジトリの設定」を開き、対象リポジトリの「セキュリティレビュー」欄で設定する。この設定を行うには、利用中のChatGPTワークスペースでSecurity Reviewを利用でき、対象リポジトリに対するGitHubのpush権限またはadmin権限を持っている必要がある。

自動レビューの対象と実行タイミングには、それぞれ各開発者の個人設定に従う選択肢がある。対象は、すべてのプルリクエストにすることも、環境によってはChatGPTワークスペースのメンバーが作成したプルリクエストに限定することもできる。実行タイミングは、プルリクエストの作成時、新しいコミットがプッシュされるたび、Code Reviewが実行されるたびのいずれかを選べる。最後の選択肢では、Code Reviewを設定しておく必要がある。

GitHub上での指摘の公開範囲に注意

Security ReviewがGitHubに投稿した指摘は、対象のプルリクエストと同じ公開範囲になる。対象のリポジトリが公開されている場合や、プルリクエストを作成した開発者がワークスペース外にいる場合は、そのプルリクエストの閲覧者が指摘内容も確認できる。OpenAIはこの点を踏まえ、GitHubに投稿する最低重大度を慎重に設定するよう案内している。