Codex Security е изследователски предварителен преглед, достъпен за потребители на ChatGPT Enterprise, Edu, Business и Pro. Той помага на екипите да идентифицират, валидират и отстраняват уязвимости в кода. Проектиран е да работи повече като изследовател по сигурността, отколкото като традиционен скенер: чете код, изпълнява тестове, проучва реалистични пътища за атака и предлага пачове, които екипите могат да прегледат в обичайния си работен процес.
Общ преглед
Codex Security се свързва с хранилища в GitHub и изгражда модел на заплахите, съобразен с вашата кодова база. Можете да сканирате цяло хранилище или отделни къмити. Codex Security проучва потенциални уязвимости, опитва се да ги потвърди в изолирана среда и предлага корекции за преглед от вашия екип.
Как работи Codex Security
Codex Security използва модел на заплахите, за да насочва анализа си. Моделът описва входните точки за атакуващи, границите на доверие, чувствителните данни и важните пътища на изпълнение на кода. Можете да го преглеждате и редактирате, така че да отразява начина, по който е внедрено приложението ви. Сканиранията на цялото хранилище оценяват кодовата база, а сканиранията на къмити разглеждат промените в хранилището.
Стартирайте сканиране
Изберете сканиране на цялото хранилище или на къмити и изчакайте сканирането да завърши. Codex Security използва модела на заплахите за хранилището, за да проучва потенциални уязвимости.
Платено използване
Codex Security Cloud се таксува според броя използвани токени. Съществуващите клиенти получават известие и трябва изрично да се съгласят, преди да започне платеното използване.
Ако няма налични средства за сканиране, то се преустановява. Прегледайте известието за таксуване и наличните средства, преди да продължите с платеното сканиране.
Достъп до Daybreak Blue
Достъпът до Daybreak Blue, включен в Codex Security Cloud, важи само в рамките на продукта Cloud. Той не предоставя достъп до Daybreak Blue в други продукти на Codex Security или чрез API.
Първи стъпки
Отидете на Codex Security.
Свържете и активирайте хранилищата в GitHub, които искате Codex Security да сканира.
Изчакайте първоначалното сканиране да приключи. Codex Security първо изгражда модел на заплахите за проекта и сканира историята на хранилището за съществуващи уязвимости. Това може да отнеме повече време при големи проекти. Сканиранията на нов код са по-бързи.
Прегледайте находките, подробностите за валидирането и предложените пачове.
Контроли за достъп според роли (RBAC)
За работни пространства Enterprise и Edu администраторите могат да управляват достъпа до Codex Security в разрешенията на работното пространство. Codex Security изисква за работното пространство да са активирани достъпът до Codex Cloud и достъпът до Codex Security. Достъпът може също да бъде ограничен до конкретни роли или групи чрез RBAC, включително групи, синхронизирани чрез SCIM. За да позволите на членовете да управляват конфигурациите за сканиране на Codex Security, активирайте и администраторското разрешение за Codex Security за съответната роля или група.
За да актуализирате разрешенията на вашето работно пространство:
В ChatGPT изберете иконата на профила си, след което изберете Настройки на работното пространство > Разрешения, за да отворите разрешенията на работното пространство.
Превъртете надолу до Codex Cloud.
Уверете се, че достъпът до Codex Cloud е активиран.
Активирайте или деактивирайте достъпа, като превключите Разрешаване на членовете да използват Codex Security.
Ако ролята или групата трябва да управлява конфигурации за сканиране, активирайте и Разрешаване на членовете да администрират Codex Security.
Научете повече за контролите за достъп според роли във вашето работно пространство в ChatGPT.
Най-добри практики
Започнете с малък набор от хранилища и специална група от проверяващи. Препоръчваме първоначално фокусирано внедряване, особено докато въвеждането и споделянето на уязвимости все още са сравнително ръчни процеси.
Усъвършенствайте модела на заплахите, докато учите. Малките актуализации на модела могат да подобрят контекста и с времето да направят находките по-точни.
Ако днес не използвате GitHub Cloud, обмислете да започнете с хранилища с по-нисък риск или извън продукционна среда за оценка. Това може да помогне на екипите да изградят увереност в работния процес преди по-широко възприемане.
Преглеждайте генерираните PRs за пачове чрез обичайния си процес за преглед. Препоръчваме също да използвате Codex Code Review за PRs на Codex Security, така че отстраняването да не въвежда регресии.
Често задавани въпроси
Codex Security променя ли автоматично кода ми?
Не. Codex Security предлага корекция за преглед от човек. Това предложение може да се превърне в pull request, но не променя автоматично кода ви.
Codex Security разчита ли на тестване с произволни входни данни или на сканиране въз основа на сигнатури?
Не. Codex Security използва структурирано анализиране от езиков модел, изчисления по време на тестване, инструменти и голям контекст, а не тестване с произволни входни данни или сканиране въз основа на сигнатури.
Мога ли да преглеждам или редактирам модела на заплахите?
Да. Моделът на заплахите може да се преглежда и редактира, така че екипите да проверяват как Codex Security разбира приложението и да актуализират допусканията според своята среда.
Какво означава валидиране?
Валидирането е етапът, в който Codex Security се опитва да възпроизведе потенциална уязвимост в изолирана среда, преди да я покаже. Целта е да се намалят фалшивите положителни резултати и да се показват само значими констатации.
Какво се случва, след като дадена констатация бъде валидирана?
След валидирането Codex Security предлага корекция, която отстранява първопричината и може да се превърне в pull request за преглед.