近日，360自主研发的AI安全攻防系统“图龙锋”，在OpenAI编程智能体Codex中发现6个高价值安全漏洞，其中包括可导致远程任意代码执行的高风险缺陷。攻击者可利用相关缺陷绕过Codex的安全信任提示机制，用户仅打开从互联网下载的不可信项目目录，就可能触发恶意代码执行，进而造成终端设备被非法操控。目前，相关漏洞已上报国家相关监管单位。
图：360图龙锋多智能体协同审计任务截图
作为 OpenAI推出的编程智能体，Codex 深度渗透全球开发者生态，广泛应用于软件开发、自动化脚本生成、服务器运维、企业数字化系统搭建等核心场景，全球海量程序员与技术团队依托其开展日常研发工作。作为人工智能产业上游关键基础设施，Codex 底层架构的安全性牵一发而动全身，直接关系数以亿计终端设备和企业业务系统稳定运行，本次暴露的代码执行漏洞潜在波及范围广、安全危害突出。
值得关注的是，OpenAI已推出Codex Security等代码安全审查工具，用于发现、验证和修复代码漏洞。但AI具备代码审查能力，并不意味着其自身产品不存在安全盲区。业内认为，让AI从“读懂代码”走向真正发现并验证漏洞，仅靠通用大模型还不够，背后还需要真实攻防数据、安全专家经验以及完整工具链的长期支撑。此次图龙锋发现Codex平台漏洞，为行业探索“以AI审计AI”提供了新的实战样本，也印证了引入独立第三方开展交叉验证，正在成为保障智能体安全的重要手段。
据了解，图龙锋采用“安全领域大模型+专业智能体蜂群”双线协同路线，将360二十余年安全积累融入安全领域大模型，由智能体蜂群协同完成攻击面梳理、漏洞研判和动态验证。其检测范围覆盖源代码、二进制程序、固件、APP、业务系统及AI工具链，不仅发现漏洞风险，还能进一步验证漏洞能否被真实利用及可能形成的攻击路径。
截至目前，360图龙锋对外开放测试仅一个月，已新发现3000余个漏洞，其中高危漏洞超过1000个，累计发现各类安全漏洞近9000个。麒麟软件、统信软件、金蝶、首都在线、山石网科等“磐石之盾”安全协作计划首批成员单位，已接入该系统开展产品安全体检，依托AI自动化检测能力夯实国产基础软硬件安全防线。
