AREX Feed Article
OpenAI 称 CodeRabbit 正用 GPT-6.1 Sol 在复杂代码库中发现安全风险，CodeRabbit 回帖确认
北京时间 10 月 27 日清晨 5 时 51 分，OpenAI 面向开发者的官方 X 账号 发帖称，GPT-6.1 Sol 正被代码审查服务商 CodeRabbit（@coderabbitai）用于帮助开发者在复杂代码库中发现安全风险。推文附一条 链接；一秒后，@OpenAIDevs 又 的链接。CodeRabbit 官方账号随后了这项合作。
OpenAI 案例页称，GPT-6.1 Sol 已成为 CodeRabbit 安全代理（security agent）的主模型，覆盖拉取请求（pull request，PR）审查和跨仓库的安全调查；页面同时转述 CodeRabbit 的自报说法，称其已在数千个仓库和组织中用它标记安全问题。规模与效果均出自两家公司自己的口径，目前没有独立验证。
时间线：案例页先上线，CodeRabbit 先公告，OpenAI 账号最后发帖
北京时间 10 月 26 日 21 时 45 分，OpenAI 的案例页已经上线。约 5 小时后、10 月 27 日凌晨 2 时 33 分，CodeRabbit 加入 OpenAI Daybreak 防御网络（Daybreak Defense Network），称其安全产品 CodeRabbit Secure 现在运行在 GPT-6.1 Sol 和 OpenAI 的 GPT Cyber 模型上，「早期用户已经用它发现并修复了失效的访问控制和身份验证缺陷」，Deep Scan（深度扫描）免费开放至 11 月 8 日。公告帖没有给出这些早期案例的具体细节。
3 小时 18 分钟后的清晨 5 时 51 分，@OpenAIDevs 发出前文那条推文；6 分钟后，CodeRabbit ；又过 2 分钟，CodeRabbit 在回复区写下「而且我们做这件事很开心！」。
CodeRabbit 是一家总部位于旧金山的代码审查服务商，其 X 简介称它帮助团队「审查、理解、治理并信任代理生成的代码」；据其 10 月 21 日，应用在 GitHub Marketplace 上的安装量已有 350,666 次。它所加入的 Daybreak Defense Network 是 OpenAI 网络防御项目 Daybreak 下的合作网络：（9 月初发布）把 Codex Security、GPT Cyber 模型、Patch the Planet 与这一网络描述为一套「受治理的防御能力」，由合作方带进团队已有的工具和工作流；OpenAI 同页宣布，将在六个月内提供 10 亿美元的 Daybreak 补贴访问，面向州和地方政府、关键基础设施运营方、社区银行、非营利组织和开源维护者。
用的是哪个模型：9 月发布、价格约为 Astra 五分之一的 GPT-6.1 Sol
按 OpenAI 9 月 22 日的说法，GPT-6.1 Sol 是 GPT-6 Sol 的升级版，在代理编码、计算机操作和专业工作上「接近 GPT-6 Astra 的智能水平」，而标准输入输出价格约为 Astra 的五分之一：每百万 token（词元）输入 2 美元、输出 10 美元，缓存输入 0.10 美元。OpenAI 还公布了一组基准数据：在评估真实代码库中软件工程任务的 DeepSWE v1.1 上，GPT-6.1 Sol 以约五分之一的成本追平了 GPT-6 Astra 的得分。
Sol 用在哪：PR 审查、Deep Scan 与跨仓库调查
OpenAI 案例页把 Sol 的用处分作三层。日常 PR 审查是第一层：开发者在改代码时，Sol 就在审查流程里分析这些变更。案例页解释，一个 PR 可能牵动应用里共享的库、依赖项和其他位置的安全防护，Sol 帮助 CodeRabbit 把跨文件、跨组件的行为连接起来，让单个变更之外的潜在安全问题暴露出来。
第二层是 Deep Scan：对整个仓库做更大范围的调查，覆盖依赖项和组件之间的交互。第三层是 CodeRabbit Secure，把调查延伸到相互关联的仓库——案例页举的例子是一条共享的身份验证库，用来评估一处弱点会如何影响更大的系统。
案例页同时写明了边界：CodeRabbit 的审查独立于写代码的那个代理，定位是对既有扫描器的补充；CodeRabbit 的系统里还运行着其他前沿模型和安全工具，并非只有 Sol。
从发现到修复：独立复核、沙箱验证与代拟补丁
CodeRabbit 在 10 月 24 日发布的里给出了更细的机制。Deep Scan 扫描的是仓库中已提交的代码：先给代码库建立详细地图，沿代码路径排查漏洞，检查已有的防护措施，再用语义分析判断漏洞是否真的可被利用。一条发现在送达团队之前还要经过独立复核——复核者会重新打开代码，把证据撑不住的发现直接否掉。每条正式发布的发现都附带支撑证据，以及对可达性和可利用性的评估。
修复端由 CodeRabbit Secure 承接：对用户选定的发现，它可以在隔离沙箱中尝试漏洞验证，不触碰生产系统；对支持修复的问题，它可以起草一个带修复方案的 PR，方案遵循代码库既有的规范，交由开发者审查批准。案例页和博客强调的是同一件事：哪些改动最终上线，由人类审查者决定。
自报数字：30 天 8,000+ 高危发现，100 万美元免费额度
与公告相伴的还有一组自报数字和一场免费活动。北京时间 10 月 26 日 23 时 30 分——在加入 Daybreak 的公告前约 3 小时，CodeRabbit ，过去 30 天里 CodeRabbit Secure 在 600 个组织中发现 8,000 多个高危或严重级别的安全漏洞，失效的访问控制、SQL 注入和身份验证失败三类占七成以上。这些数字没有第三方验证。
免费活动在 10 月 24 日的中宣布：至 11 月 8 日，两名及以上成员的组织可以免费运行 Deep Scan，每个组织最高 5,000 美元的用量由 CodeRabbit 承担，总额度 100 万美元，先到先得。CodeRabbit 说明了理由：开发者不是唯一在用 AI 理解陌生代码的人，攻击者同样可以用它翻检成熟代码库里多年无人走过的路径；而大量开源项目由没有专职安全人员的小团队维护，一个被广泛使用的项目出了漏洞，依赖它的每个组织都会受影响。
回复区的疑问，与 11 月 8 日这个可以自己检验的窗口
@OpenAIDevs 推文的回复区里，有开发者把问题对准了准确率。用户 Ryan Rizzo（@RitzMalta）：「这些告警最后有多少是真的？噪音会让这类工具被直接静音。」自述有 14 年开发经验的开发者 serx（@serxzsz）：「复杂代码库才是我想看的部分。50 行的小文件里漏了个过滤，什么模型都能抓到。」截至北京时间 10 月 27 日 8 时许的检索，@OpenAIDevs 的推文有约 1.95 万次浏览、40 条回复和 257 次点赞；CodeRabbit 的公告帖约有 1.3 万次浏览。
CodeRabbit 把检验方式写进了公告帖，用它的原话说，「在你的仓库上跑一次，看看能查出什么」——这个免费窗口开到 11 月 8 日。告警里有多少是真的，要等跑过的人给出答案。