Por qué Codex Security No Incluye un Informe SAST

Codex Security evita deliberadamente comenzar su análisis con informes de Pruebas de Seguridad de Aplicaciones Estáticas (SAST) porque las vulnerabilidades más difíciles a menudo surgen de suposiciones de seguridad defectuosas en lugar del simple seguimiento del flujo de datos. Los modelos SAST tienen dificultades para determinar si una supuesta defensa, como un saneador, es verdaderamente suficiente dadas las transformaciones posteriores o el contexto de renderizado específico. En su lugar, Codex Security comienza analizando la arquitectura y la intención del repositorio, y luego valida los hallazgos razonando sobre toda la cadena de transformación, a menudo utilizando técnicas como micro-fuzzing o formalización con solucionadores como z3. Comenzar con un informe SAST corre el riesgo de estrechar prematuramente el enfoque, introducir suposiciones implícitas difíciles de desenredar y oscurecer las contribuciones analíticas propias del agente. El objetivo es ir más allá de identificar una comprobación para demostrar si se mantiene la invariante subyacente, centrándose en problemas complejos como errores de orden de operaciones y problemas de estado/invariantes que el análisis puro de fuente a sumidero pasa por alto.

(Fuente：OpenAI)