HN讨论 · 身份未知
为轻量而生：开发者精简 Codex-Security 的 AI 漏洞检测流程
OpenAI 发布 Codex-Security 后，有团队认为其过于臃肿，基于自身产品用法加以精简，形成威胁模型生成、代理探测、去重、验证、严重性评估的流水线并计划开源。它指向安全团队对更轻量、可嵌入的 AI 漏洞检测方案的需求。
查看原始信号hn:49298705
目标用户
内部使用 AI 辅助代码安全检测，但不愿引入完整重型服务的开发团队和安全工程师。
潜在需求
需要一套足够精简、可集成到自身产品中的 AI 漏洞检测流水线：基于威胁模型快速生成探测任务，并包含去重、验证与严重性分级，而不是接受一个功能臃肿、难以裁剪的通用方案。
发生场景
在 OpenAI 推出 Codex-Security 后，该工具的功能范围被认为过于庞大，与团队自身产品中的实际使用模式不匹配；他们转而按自己的用法实现了一个简化版，并通过 PI harness 调度多个探测代理执行威胁模型驱动的漏洞发现。
来源证据
OpenAI 发布了 Codex-Security；开发者基于自身产品中的用法将其简化，并放入 PI harness 进行威胁模型驱动的探测。
OpenAI recently released Codex-Security. We simplified it based on what we use in our own products and put it in the PI harness. We will release data on DeepSeek v4 and GLM-5.3 performance soon, but so far it's probably the best open-source vulnerability detection tool out there right now. The idea is the same as Codex Security. 1. Build a threat model 2. Launch a lot of probing agents looking into the security based on the threat model 3. Deduplication 4. Validation 5. Severity and likelihoodhttps://news.ycombinator.com/item?id=49298705
为什么值得留意
它提供了一个具体案例：大型模型厂商发布的全功能安全工具未必贴合中小团队的集成场景，而开源社区会主动做出更精简的替代实现。这也是观察 AI 安全工具在真实工作流中如何被裁剪和接受的信号。
已有方案
- OpenAI Codex-Security
未满足部分
- Codex-Security 的复杂度超出目标团队在产品中的实际需求，缺少可裁剪的轻量性。
可能延伸 · 模型推测
- 将精简后的流水线独立成可复用的开源组件，供其他安全平台直接接入。
- 用 DeepSeek v4 和 GLM-5.3 等模型发布横向性能对比，降低团队选型成本。
目前未知
- 评论来自项目作者，非独立用户反馈，可能夸大问题。
- 'bloat' 具体指代哪些功能未定义。
- 该工具与 Codex-Security 的实际能力差距未知。
继续核实
- Codex-Security 中被视为冗余的部分具体是什么？
- 除了该项目作者，其他安全团队是否也在裁剪或替换 Codex-Security？
- 这种威胁模型驱动的代理探测流程在真实漏洞检出上的效果如何？
主题词
vulnerability detectionthreat modelingsecurity probingcode security