Codex Security je výzkumný preview dostupný pro uživatele ChatGPT Enterprise, Edu, Business a Pro. Pomáhá týmům identifikovat, ověřovat a odstraňovat zranitelnosti v kódu. Je navržen tak, aby fungoval spíše jako bezpečnostní výzkumník než jako tradiční skener: čte kód, spouští testy, zkoumá realistické cesty útoku a navrhuje opravy, které týmy mohou zkontrolovat ve svém běžném pracovním postupu.
Přehled
Codex Security se připojuje k úložištím na GitHubu a vytváří model hrozeb přizpůsobený vašemu kódu. Můžete skenovat celé úložiště nebo jednotlivé commity. Codex Security zkoumá potenciální zranitelnosti, pokouší se je ověřit v izolovaném prostředí a navrhuje opravy k posouzení vaším týmem.
Jak funguje Codex Security
Codex Security se při analýze řídí modelem hrozeb. Model popisuje vstupní body pro útočníky, hranice důvěry, citlivá data a důležité cesty vykonávání kódu. Můžete si ho prohlédnout a upravit tak, aby odpovídal způsobu nasazení vaší aplikace. Skenování celého úložiště posuzuje veškerý kód, zatímco skenování commitů zkoumá změny v úložišti.
Spusťte skenování
Zvolte skenování celého úložiště nebo commitů a nechte ho dokončit. Codex Security využívá model hrozeb daného úložiště ke zkoumání potenciálních zranitelností.
Placené využívání
Codex Security Cloud účtuje poplatky podle počtu tokenů. Stávající zákazníci obdrží oznámení a před zahájením placeného využívání musí udělit souhlas.
Pokud nejsou k dispozici prostředky na úhradu skenování, skenování se pozastaví. Než budete pokračovat v placeném skenování, přečtěte si oznámení o účtování poplatků a zkontrolujte dostupné prostředky.
Přístup k Daybreak Blue
Přístup k Daybreak Blue zahrnutý v Codex Security Cloud platí pouze v rámci tohoto cloudového produktu. Neumožňuje přístup k Daybreak Blue v jiných produktech Codex Security ani prostřednictvím API.
Začínáme
Přejděte na Codex Security.
Připojte a povolte úložiště GitHub, která má Codex Security skenovat.
Počkejte, až se dokončí úvodní skenování. Codex Security nejprve vytvoří pro projekt model hrozeb a prohledá historii úložiště kvůli existujícím zranitelnostem. U velkých projektů to může trvat déle. Skenování nového kódu je rychlejší.
Zkontrolujte nálezy, podrobnosti ověření a navrhované opravy.
Řízení přístupu podle rolí (RBAC)
U pracovních prostorů Enterprise a Edu mohou správci spravovat přístup ke Codex Security v oprávněních pracovního prostoru. Codex Security vyžaduje, aby byl pro pracovní prostor povolen přístup ke Codex Cloud i Codex Security. Přístup lze prostřednictvím RBAC také omezit na konkrétní role nebo skupiny, včetně skupin synchronizovaných přes SCIM. Chcete-li členům umožnit spravovat konfigurace skenování Codex Security, povolte také oprávnění správce Codex Security pro příslušnou roli nebo skupinu.
Postup aktualizace oprávnění pracovního prostoru:
V ChatGPT vyberte ikonu svého profilu a poté vyberte Workspace Settings > Permissions, čímž otevřete oprávnění pracovního prostoru.
Posuňte se dolů na Codex Cloud.
Ujistěte se, že je přístup ke Codex Cloud povolen.
Povolte nebo zakažte přístup přepnutím volby Allow members to use Codex Security.
Pokud má role nebo skupina spravovat konfigurace skenování, povolte také Allow members to administer Codex Security.
Přečtěte si více o řízení přístupu podle rolí ve vašem pracovním prostoru ChatGPT.
Doporučené postupy
Začněte s malou sadou úložišť a vyhrazenou skupinou kontrolorů. Zpočátku doporučujeme cílené zavádění, zejména dokud jsou onboarding a sdílení zranitelností stále poměrně manuální.
Zpřesňujte model hrozeb podle toho, co zjistíte. Malé aktualizace modelu mohou zlepšit kontext a časem zpřesnit nálezy.
Pokud dnes GitHub Cloud nepoužíváte, zvažte, že pro vyhodnocení začnete s méně rizikovými nebo neprodukčními úložišti. To může týmům pomoci získat důvěru v pracovní postup před širším přijetím.
Kontrolujte vygenerované PR s opravami pomocí svého běžného procesu kontroly. Doporučujeme také používat Codex Code Review u PR z Codex Security, aby náprava nezavedla regrese.
Časté dotazy
Mění Codex Security automaticky můj kód?
Ne. Codex Security navrhne opravu, kterou musí posoudit člověk. Tento návrh lze převést na pull request, váš kód však automaticky neupraví.
Využívá Codex Security fuzzing nebo skenování založené na signaturách?
Ne. Codex Security namísto fuzzingu či skenování založeného na signaturách využívá uvažování jazykového modelu, výpočetní prostředky při inferenci, nástroje a rozsáhlý kontext.
Mohu si model hrozeb prohlédnout nebo ho upravit?
Ano. Model hrozeb lze zobrazit a upravovat, takže týmy mohou zkontrolovat, jak Codex Security aplikaci chápe, a přizpůsobit předpoklady svému prostředí.
Co znamená validace?
Validace je krok, při kterém se Codex Security pokusí v izolovaném prostředí reprodukovat potenciální zranitelnost, než ji zobrazí. Cílem je omezit falešně pozitivní nálezy a zajistit, aby výsledky byly co nejrelevantnější.
Co se stane po ověření nálezu?
Po validaci Codex Security navrhne opravu základní příčiny, kterou lze převést na pull request a předložit ke kontrole.