Codex Security（旧Aardvark）の代替はこれ。無料・日本語・オープンソースで選ぶAIセキュリティ診断
Codex Securityを使いたいのに、招待が来ない。あるいはChatGPTの上位プランが前提で、コストが読めない。そんな行き止まりで足踏みしている人が多いはずです。答えを先に言うと、コードの脆弱性を見つける目的なら、代替はちゃんとあります。しかも無料から始められます。
この記事のポイント
- Codex Security（旧Aardvark）は招待制のプレビュー段階。今すぐ全社導入できる状態ではありません
- 「脆弱性を見つけて直す」だけなら、無料のオープンソース診断ツールで大部分は代替できます
- 選び方の軸は「無料で始まるか」「自社サーバーで動くか」「日本語の指示が通るか」の3つ
- 迷ったら、まず無料OSSで足場を作り、手が回らない部分だけ有料SaaSに寄せるのが現実的です
Codex Security（旧Aardvark）とは何か
Codex Securityとは、OpenAIが提供するコードの安全性を自動でチェックするAIエージェントです。もとは2025年10月に発表された「Aardvark（アードバーク）」という研究プロジェクトで、2026年3月にCodex Securityとして生まれ変わりました。
やることはシンプルに言えば「コードを読んで、危ない箇所を探し、直し方まで出す」。OpenAIの説明によると、リポジトリの分析、脅威のモデル化、コミット単位のスキャン、隔離した環境での再現確認、そして修正パッチの生成までを一続きで行います。ここで効いてくるのが「再現確認」です。パターンに一致しただけでは危険と決めつけず、隔離した箱の中で本当に悪用できるかを試す。だから誤検知（実害のない警告）が減る、という設計思想です。
ただし2026年7月時点で、利用はChatGPTのPro・Enterprise・Business・Edu向けの研究プレビューにとどまります。Codexのウェブ画面からリポジトリに接続して使う形。つまり「誰でも今日から」という状態ではありません。ここが、代替を探す人が増えている一番の理由です。
代替を探している人が本当に困っているのは？
「Codex Securityの代替」と検索する人の悩みは、だいたい3つに割れます。順番に見ていきます。
- 入り口で詰まっている: 招待制・上位プラン前提で、そもそも試せない
- コストが読めない: 正式な料金が2026年4月時点で未発表。稟議が通せない
- 日本語と社内ルールが不安: レポートが英語、機密コードを外部に出していいのか判断がつかない
3つのうち、あなたがどれに当てはまるかで選ぶ道が変わります。入り口で詰まっているなら無料OSS。コストが読めないなら無料OSSで実績を作ってから有料へ。機密が不安なら、自社サーバーで動く自ホスト型。ここが分岐点です。
導入判断の型そのものに不安があるなら、社内監査に使うAIツールの選び方を先に押さえておくと、この後の話が早く進みます。
AIコードセキュリティ診断ツールの3タイプ
代替を「何でもいいから探す」と沼にはまります。まずは大きく3タイプに分けて、自分がどれを必要としているかを決めるのが近道です。
下の表が全体像です。
| タイプ | 代表的な仕組み | 費用感 | 向いている人 |
|---|---|---|---|
| OSS静的解析（SAST） | ルール＋パターンでコードを解析 | 無料〜 | まず無料で足場を作りたい |
| OSS＋AI補助 | 静的解析にAIの説明・優先順位付けを足す | 無料〜一部有料 | 誤検知の仕分けに疲れている |
| 商用SaaS型 | クラウドで自動スキャン＋修正提案 | 月$30/ユーザー前後 | 運用まで丸ごと任せたい |
つまり、Codex Securityは3つ目の「商用SaaS型」に近い立ち位置です。そこにいきなり並べようとするから高く感じる。多くのチームは、1つ目と2つ目の無料ゾーンで土台を作れば十分だったりします。
次に、その無料ゾーンから具体的に見ていきます。
無料で始めたいならどれを選ぶ？
結論、無料で始めるなら「オープンソースの静的解析ツール」が一択です。ここでいう静的解析（SAST）とは、プログラムを動かさずにソースコードを読んで危険な書き方を見つける仕組みのこと。
無料OSSの代表格を、性格の違いで並べます。
| 種類 | 得意なこと | 苦手なこと |
|---|---|---|
| ルールベースの汎用SAST | 多言語対応・導入が速い | 深い文脈は読みにくい |
| データフロー解析型 | 入力から出力まで追える | 設定と学習コストが重い |
| 依存ライブラリ検査 | 既知の脆弱性を即検出 | 自作コードの穴は見つけない |
ポイントは、1つで完結させないこと。「汎用SAST」で広く網をかけ、「依存ライブラリ検査」で使っている部品の既知の穴を塞ぐ。この2枚重ねだけで、実害の多くは拾えます。地味ですが、ここが効きます。
無料枠の落とし穴は、誤検知の多さです。警告は出るけど、どれが本物か分からない。この仕分けに人手を取られて挫折する。だから次の「AI補助」が効いてきます。
オープンソースの選択肢は実務で使えるか？
使えます。ただし「Codex Securityの完全な置き換え」ではなく、「7割を無料で担い、残り3割を人かSaaSで補う」という前提なら、という条件付きです。
OSSの強みは3つ。
- 無料: ライセンスの範囲なら費用ゼロで回せます
- 自ホストできる: 機密コードを外に出さず、自社サーバー内で完結できます
- CI/CDに組み込める: プルリクごとの自動チェックにそのまま乗せられます
弱みも正直に。深い脆弱性の「これは本当に悪用できるのか」という再現確認は、OSS単体だと弱い。Codex Securityが売りにしている隔離環境での実証は、ここでは人が肩代わりする前提になります。
ここまでの整理: Codex Securityの価値は「発見」より「発見したものが本物だと確かめる検証」にあります。無料OSSは発見が得意で検証が苦手。だから、OSSで広く見つけて、怪しいものだけ人やAIで裏を取る——この分担が現実解です。
自ホスト型のツールを自分で組み合わせる発想は、画像生成の世界でComfyUIとStable Diffusionを自前で回す考え方と似ています。クラウドの手軽さを捨てる代わりに、コストと機密を自分の手に握る。同じトレードオフです。
日本語対応はどこまで期待できる？
期待しすぎないのが正解です。多くのAIコード診断ツールは、レポート画面や警告メッセージが英語中心。ここは覚悟が要ります。
ただし救いもあります。近年のツールはAIモデルを内側に持つものが増え、日本語で「この警告を初心者にも分かるよう説明して」と指示すると、日本語で返してくれるケースが多い。UIは英語でも、解説は日本語で引き出せる。これが今の実態です。
日本語まわりを3段階で見ておきます。
| 観点 | 現状 |
|---|---|
| 操作画面(UI) | 英語が主流。慣れれば問題ない範囲 |
| 警告メッセージ | 英語。用語はほぼ共通なので調べれば分かる |
| AIによる解説 | 日本語で指示すれば日本語で返るものが多い |
英語のエラーメッセージの意味を掴むだけなら、Feloのような日本語に強いAI検索に貼り付けて要約させる手もあります。ツールの日本語対応を待つより、周辺のAIで補う方が速いことが多いです。
商用SaaS型の代替（クラウド診断）
無料OSSでは手が回らない、運用まで任せたい。そういうチームは商用SaaS型が候補になります。Codex Securityと同じ土俵です。
SaaS型を選ぶときの見極めは、機能の多さより「うるさすぎないか」。警告を大量に出すだけのツールは、結局誰も見なくなります。重視すべきは次の2点。
- 優先順位を付けてくれるか: 全部が赤信号だと、どれも直せません
- 修正案まで出すか: 「危ない」だけでなく「こう直す」まで踏み込むか
Codex Securityが評価されているのは、まさにこの2点、とくに修正パッチの生成まで一気通貫な点です。SaaS型の代替を選ぶなら、同じ物差しで比べてください。
機能カタログの列挙より、自社の開発言語とCIに合うかが先。派手な機能に目を奪われないことです。
料金はいくらかかる？Codex Securityとの比較
正直に書きます。Codex Securityの正式な料金は、2026年4月時点で公式に発表されていません。一部で法人向けが月$30/ユーザー前後と語られていますが、確定情報ではない。ここを稟議書にそのまま書くのは危険です。
現時点の費用感を、幅を持たせて並べます。
| 選択肢 | 月額の目安 | 備考 |
|---|---|---|
| 無料OSS(自ホスト) | ¥0 | サーバー代と運用の人件費は別途 |
| Codex Security | 未確定(要ChatGPT上位プラン) | 招待制プレビュー段階 |
| 商用SaaS型 | 月$30/ユーザー前後 | 製品により大きく変動 |
読み解き方はこうです。「無料OSSはお金がかからないが、運用する人の時間がかかる」。「SaaSはお金がかかるが、時間を買える」。あなたのチームで、いま足りないのはお金ですか、時間ですか。そこで決まります。
コスト対効果の詰め方は、AIツール全般に共通する話です。ドル建て料金の為替リスクも含め、AIツールの費用対効果を見極める視点が判断の下敷きになります。
導入前に確認する5つのチェックポイント
ツールを決める前に、この5つだけは自分の環境で確かめてください。順番に効いてきます。
- 対応言語: 自社の主力言語(Python・JS・Goなど)をカバーしているか
- コードを外に出すか: 機密が絡むなら自ホスト可のOSSを優先
- CIに乗るか: プルリク単位で自動実行できるか
- 誤検知の量: 最初の1週間、警告の何割が本物かを実測する
5つ目は、決めた後の運用ルールです。「誰が警告を仕分けるか」を先に決めておかないと、ツールを入れても放置される。ここが一番の落とし穴です。
チェックの型は、AIツール導入全般で共通します。選定の物差しに自信がないなら、社内監査向けAIツールの評価軸を流用するのが手っ取り早いです。
開発フローへの組み込み方
診断ツールは「入れて終わり」だと形骸化します。開発の流れの中に、自然に挟むのがコツです。
現実的な組み込みは3段階。
- 書いている最中: エディタ拡張で、書いた瞬間に軽く警告
- プルリクのとき: CIで自動スキャン。危険度が高ければマージを止める
- 定期スキャン: 週次で全体を流し、既知ライブラリの新しい穴を拾う
この3段目が抜けがちです。一度きれいにしても、使っているライブラリに後から脆弱性が見つかる。だから定期実行が要る。ここを自動化しておくと、あとが楽です。
コーディング支援ツールと診断ツールは役割が別物です。書く速さを上げるツールの選び方はAIコーディング系ツールのカテゴリにまとまっています。合わせて見ておくと、開発環境の全体像が描けます。
よくある失敗と回避策
代替ツールの導入で、つまずくパターンはだいたい決まっています。先回りして潰しておきます。
- 警告を全部直そうとする: 全件対応は不可能。危険度の高い順に、上から数件だけ
- 無料OSSに完璧を求める: OSSは「広く浅く」。深い検証は人が補う前提で使う
- 機密コードを軽率に外部SaaSへ: 一度出したら取り消せません。社内規定を先に確認
- 入れっぱなしで放置: 仕分け担当を決めないと、警告は誰も見なくなります
一番痛いのは3つ目です。便利さに釣られて機密リポジトリをクラウドに繋ぎ、後で問題になる。外に出す前に、必ず立ち止まってください。
創作系ツールでも同じ判断が要ります。素材を外部に預けるかどうかは、AIイラスト系ツールを選ぶときにも共通する分かれ道です。ジャンルは違えど、「機密を外に出すか」の重さは変わりません。
AI PICKS編集部の判定
正直に言います。今この瞬間、Codex Securityの「代替を1つだけ」と聞かれたら、無料のオープンソース静的解析ツールを土台に据えるのが一択です。理由はシンプルで、Codex Security本体がまだ招待制プレビューで、正式な料金も2026年4月時点で未発表だから。稟議を通せない相手と、今すぐ全面契約するのは筋が悪い。
一方で、Codex Securityの「隔離環境で本当に悪用できるか確かめる」という検証思想は、地味に効く発想です。ここは無料OSSが最も苦手な部分。だから現実解は、無料OSSで発見を広くカバーし、怪しい上位数件だけ人か有料SaaSで裏を取る二段構え。全部を1ツールに背負わせない。
Codex Securityが正式公開され、料金が明確になった時点で、SaaS枠を乗り換える——それで十分間に合います。焦って高い契約を結ぶより、無料で足場を固めて待つ。今はそれが賢いと見ています。
よくある質問（FAQ）
Q. Codex SecurityとAardvarkは違うものですか？
同じ系譜です。2025年10月に発表されたAardvarkが、2026年3月にCodex Securityへと名前と形を変えました。中身のコアである「発見→検証→修正」の流れは引き継がれています。
Q. 無料の代替だけで、有料版の代わりになりますか？
用途によります。「脆弱性を見つけて直す」目的なら、無料OSSで大部分をカバーできます。ただし、悪用可能かの深い検証や、運用の自動化まで丸ごと任せたいなら、有料SaaSの方が手間は少ないです。
Q. 機密コードを外部に出さずに使えますか？
使えます。Semgrepやデータフロー解析型など、自社サーバーで動く自ホスト型のOSSを選べば、コードを外部に送らずに診断できます。機密が絡むなら、まずここから検討してください。
Q. 日本語でレポートは出ますか？
操作画面や警告メッセージは英語が主流です。ただしAIモデルを内蔵するツールなら、日本語で「分かりやすく説明して」と指示すれば日本語の解説が返るケースが多い。UIの英語は割り切りが必要です。
Q. プログラミング初心者でも導入できますか？
CIへの組み込みは多少の慣れが要ります。最初はエディタ拡張で「書いた瞬間に警告」から始めるのが入りやすい。いきなり全自動を狙わず、小さく始めるのが挫折しないコツです。
Q. どのくらいの頻度でスキャンすべきですか？
理想は3段構えです。書いている最中はエディタで、プルリクのたびにCIで、そして週次で全体を定期スキャン。3つ目の定期実行を忘れると、後から見つかるライブラリの穴を取りこぼします。
関連する比較・代替を見る
- GitHub CopilotとCursorの比較 — 開発環境ごとどう組むかで診断の入れ方が変わります
- ChatGPTとClaudeの比較 — 警告の解説をどのAIに任せるかの判断材料に
- GitHub Copilotの代替 — コーディング支援側から見直したい人向け
- ChatGPTの代替 — 上位プラン前提が重いと感じたら
- Cursorの代替 — エディタ統合型の選択肢を広げたいとき
- AIコーディング系ツールのカテゴリ — 開発まわりのツールを俯瞰する入り口
次に読むなら、社内監査に使うAIツールの選び方が一本おすすめです。セキュリティ診断の導入判断は、結局「社内でどう評価し、誰が運用するか」に行き着きます。その型を先に持っておくと、ツール選びで迷わなくなります。
