Codex Security er en forskningspreview, der er tilgængelig for brugere af ChatGPT Enterprise, Edu, Business og Pro. Det hjælper teams med at identificere, validere og afhjælpe sårbarheder i kode. Det er designet til at fungere mere som en sikkerhedsforsker end som en traditionel scanner: Det læser kode, kører tests, udforsker realistiske angrebsveje og foreslår rettelser, som teams kan gennemgå i deres normale workflow.
Oversigt
Codex Security opretter forbindelse til GitHub-lagre og bygger en trusselsmodel, der er tilpasset din kodebase. Du kan scanne et helt lager eller scanne commits. Codex Security undersøger potentielle sårbarheder, forsøger at bekræfte dem i et isoleret miljø og foreslår rettelser, som dit team kan gennemgå.
Sådan fungerer Codex Security
Codex Security bruger en trusselsmodel som grundlag for sin analyse. Modellen beskriver indgangspunkter for angribere, tillidsgrænser, følsomme data og vigtige eksekveringsstier i koden. Du kan gennemgå og redigere den, så den afspejler, hvordan din applikation er sat i drift. Scanninger af hele lageret vurderer kodebasen, mens commit-scanninger undersøger ændringer i lageret.
Kør en scanning
Vælg en scanning af hele lageret eller en commit-scanning, og vent, til scanningen er færdig. Codex Security bruger lagerets trusselsmodel til at undersøge potentielle sårbarheder.
Betalt brug
Codex Security Cloud bruger tokenbaseret fakturering. Eksisterende kunder får besked og skal aktivt tilvælge betalt brug, før den begynder.
Hvis der ikke er midler til rådighed til scanninger, sættes scanning på pause. Gennemgå faktureringsmeddelelsen og de tilgængelige midler, før du fortsætter med betalt scanning.
Adgang til Daybreak Blue
Den adgang til Daybreak Blue, der følger med Codex Security Cloud, gælder inden for Cloud-produktet. Den giver ikke adgang til Daybreak Blue i andre Codex Security-produkter eller via API'et.
Kom i gang
Gå til Codex Security.
Forbind og aktivér de GitHub-lagre, som Codex Security skal scanne.
Vent på, at den indledende scanning afsluttes. Codex Security opbygger først en trusselsmodel for projektet og scanner lagerhistorikken for eksisterende sårbarheder. Dette kan tage længere tid for store projekter. Scanninger af ny kode er hurtigere.
Gennemgå fund, valideringsdetaljer og foreslåede rettelser.
Rollebaseret adgangskontrol (RBAC)
For Enterprise- og Edu-arbejdsområder kan administratorer administrere adgang til Codex Security i tilladelser for arbejdsområdet. Codex Security kræver, at både adgang til Codex Cloud og Codex Security er aktiveret for arbejdsområdet. Adgang kan også begrænses til bestemte roller eller grupper via RBAC, herunder SCIM-synkroniserede grupper. Hvis medlemmer skal kunne administrere scanningskonfigurationer for Codex Security, skal du også aktivere administratortilladelsen til Codex Security for den relevante rolle eller gruppe.
Sådan opdaterer du tilladelserne for dit arbejdsområde:
I ChatGPT skal du vælge dit profilikon og derefter vælge Indstillinger for arbejdsområde > Tilladelser for at åbne tilladelser for arbejdsområde.
Rul ned til Codex Cloud.
Sørg for, at adgang til Codex Cloud er aktiveret.
Aktivér eller deaktiver adgang ved at slå Tillad medlemmer at bruge Codex Security. til eller fra.
Hvis rollen eller gruppen skal administrere scanningskonfigurationer, skal du også aktivere Tillad medlemmer at administrere Codex Security.
Få mere at vide om rollebaseret adgangskontrol i dit ChatGPT-arbejdsområde.
Bedste praksis
Start med et lille sæt lagre og en dedikeret gruppe af reviewers. Vi anbefaler en fokuseret udrulning til at begynde med, især mens onboarding og deling af sårbarheder stadig er relativt manuelt.
Finjuster trusselsmodellen, efterhånden som du lærer. Små opdateringer af modellen kan forbedre konteksten og gøre fund mere præcise over tid.
Hvis du ikke bruger GitHub Cloud i dag, kan du overveje at starte med lagre med lavere risiko eller lagre, der ikke bruges i produktion, til evaluering. Det kan hjælpe teams med at opbygge tillid til workflowet før bredere ibrugtagning.
Gennemgå genererede patch-PRs med din normale gennemgangsproces. Vi anbefaler også at bruge Codex Code Review på Codex Security-PRs, så afhjælpning ikke introducerer regressioner.
Ofte stillede spørgsmål
Ændrer Codex Security automatisk min kode?
Nej. Codex Security foreslår en rettelse, som skal gennemgås af et menneske. Forslaget kan omdannes til en pull request, men det ændrer ikke automatisk din kode.
Er Codex Security baseret på fuzzing eller signaturbaseret scanning?
Nej. Codex Security bruger sprogmodellens ræsonnering, beregning ved testtid, værktøjer og en stor kontekst frem for fuzzing eller signaturbaseret scanning.
Kan jeg gennemgå eller redigere trusselsmodellen?
Ja. Trusselsmodellen kan ses og redigeres, så teams kan undersøge, hvordan Codex Security forstår applikationen, og tilpasse antagelserne til deres miljø.
Hvad betyder validering?
Validering er det trin, hvor Codex Security forsøger at genskabe en potentiel sårbarhed i et isoleret miljø, før den rapporteres. Formålet er at reducere antallet af falske positiver og sikre relevante resultater.
Hvad sker der, når et fund er valideret?
Efter valideringen foreslår Codex Security en rettelse, der løser den grundlæggende årsag, og som kan omdannes til en pull request til gennemgang.