Codex Security je istraživački pregled dostupan korisnicima paketa ChatGPT Enterprise, Edu, Business i Pro. Pomaže timovima da identifikuju, validiraju i otklone ranjivosti u kodu. Dizajniran je da radi više kao istraživač sigurnosti nego kao tradicionalni skener: čita kod, pokreće testove, istražuje realistične putanje napada i predlaže zakrpe koje timovi mogu pregledati u svom uobičajenom toku rada.
Pregled
Codex Security se povezuje s GitHub repozitorijima i izrađuje model prijetnji prilagođen vašoj bazi koda. Možete skenirati cijeli repozitorij ili pojedinačne commitove. Codex Security istražuje potencijalne ranjivosti, pokušava ih potvrditi u izolovanom okruženju i predlaže ispravke koje vaš tim može pregledati.
Kako radi Codex Security
Codex Security koristi model prijetnji za usmjeravanje analize. Model opisuje ulazne tačke za napadače, granice povjerenja, osjetljive podatke i važne putanje izvršavanja koda. Možete ga pregledati i urediti tako da odražava način na koji je vaša aplikacija postavljena u radno okruženje. Skeniranjem cijelog repozitorija procjenjuje se baza koda, dok se skeniranjem commitova ispituju promjene u repozitoriju.
Pokrenite skeniranje
Odaberite skeniranje cijelog repozitorija ili commita i sačekajte da se skeniranje završi. Codex Security koristi model prijetnji repozitorija za istraživanje potencijalnih ranjivosti.
Korištenje uz naplatu
Codex Security Cloud naplaćuje korištenje na osnovu broja tokena. Postojeći korisnici dobijaju obavijest i moraju pristati na korištenje uz naplatu prije nego što ono počne.
Ako nema raspoloživih sredstava za skeniranje, ono se pauzira. Pregledajte obavijest o naplati i raspoloživa sredstva prije nego što nastavite skeniranje uz naplatu.
Pristup modelu Daybreak Blue
Pristup modelu Daybreak Blue uključen u Codex Security Cloud važi unutar proizvoda Cloud. Time se ne omogućava pristup modelu Daybreak Blue u drugim proizvodima Codex Security niti putem API-ja.
Započnite
Idite na Codex Security.
Povežite i omogućite GitHub repozitorije koje želite da Codex Security skenira.
Sačekajte da se početno skeniranje završi. Codex Security prvo gradi model prijetnji za projekt i skenira historiju repozitorija radi postojećih ranjivosti. To može trajati duže za velike projekte. Skeniranja novog koda su brža.
Pregledajte nalaze, detalje validacije i predložene zakrpe.
Kontrole pristupa zasnovane na ulogama (RBAC)
Za Enterprise i Edu radne prostore, administratori mogu upravljati pristupom za Codex Security u dozvolama radnog prostora. Codex Security zahtijeva da i pristup za Codex Cloud i pristup za Codex Security budu omogućeni za radni prostor. Pristup se također može ograničiti na određene uloge ili grupe putem RBAC-a, uključujući grupe sinhronizirane putem SCIM-a. Da biste članovima omogućili upravljanje konfiguracijama skeniranja za Codex Security, omogućite i administratorsku dozvolu za Codex Security za odgovarajuću ulogu ili grupu.
Da ažurirate dozvole svog radnog prostora:
U ChatGPT-u odaberite ikonu profila, zatim odaberite Postavke radnog prostora > Dozvole da otvorite dozvole radnog prostora.
Pomaknite se dolje do Codex Cloud.
Provjerite je li pristup za Codex Cloud omogućen.
Omogućite ili onemogućite pristup prebacivanjem opcije Dozvoli članovima da koriste Codex Security.
Ako uloga ili grupa treba upravljati konfiguracijama skeniranja, omogućite i Dozvoli članovima da administriraju Codex Security.
Saznajte više o kontrolama pristupa zasnovanim na ulogama u vašem ChatGPT radnom prostoru.
Najbolje prakse
Počnite s malim skupom repozitorija i namjenskom grupom pregledatelja. Preporučujemo fokusirano početno uvođenje, posebno dok su uključivanje korisnika i dijeljenje ranjivosti još uvijek relativno ručni.
Poboljšavajte model prijetnji dok učite. Mala ažuriranja modela mogu poboljšati kontekst i vremenom učiniti nalaze preciznijim.
Ako danas ne koristite GitHub Cloud, razmislite o tome da za procjenu počnete s repozitorijima nižeg rizika ili onima koji nisu produkcijski. To može pomoći timovima da steknu povjerenje u tok rada prije šireg usvajanja.
Pregledajte generisane PR-ove sa zakrpama kroz svoj uobičajeni proces pregleda. Također preporučujemo korištenje Codex Code Reviewa na PR-ovima za Codex Security kako otklanjanje problema ne bi uvelo regresije.
Česta pitanja
Da li Codex Security automatski mijenja moj kôd?
Ne. Codex Security predlaže zakrpu koju treba pregledati stručna osoba. Taj prijedlog može se pretvoriti u pull request, ali ne mijenja automatski vaš kôd.
Da li se Codex Security oslanja na fuzz testiranje ili skeniranje zasnovano na potpisima?
Ne. Codex Security koristi rezonovanje jezičkog modela, računarske resurse tokom testiranja, alate i veliki kontekst, a ne fuzz testiranje ili skeniranje zasnovano na potpisima.
Mogu li pregledati ili urediti model prijetnji?
Da. Model prijetnji može se pregledati i uređivati, pa timovi mogu provjeriti kako Codex Security razumije aplikaciju i prilagoditi pretpostavke svom okruženju.
Šta znači validacija?
Validacija je korak u kojem Codex Security pokušava reproducirati moguću ranjivost u izoliranom okruženju prije nego što je prikaže. Cilj je smanjiti broj lažno pozitivnih rezultata i osigurati što relevantnije nalaze.
Šta se dešava nakon validacije nalaza?
Nakon validacije Codex Security predlaže zakrpu koja rješava osnovni uzrok i može se pretvoriti u pull request za pregled.