Codex Security ist als Research Preview für Nutzer:innen von ChatGPT Enterprise, Edu, Business und Pro verfügbar. Es unterstützt Teams dabei, Schwachstellen im Code zu identifizieren, zu validieren und zu beheben. Es ist so konzipiert, dass es eher wie ein:e Sicherheitsforscher:in arbeitet als wie ein herkömmlicher Scanner: Es liest Code, führt Tests aus, untersucht realistische Angriffspfade und schlägt Patches vor, die Teams in ihrem normalen Workflow prüfen können.
Überblick
Codex Security verbindet sich mit GitHub-Repositories und erstellt ein auf deine Codebasis zugeschnittenes Bedrohungsmodell. Du kannst ein ganzes Repository oder einzelne Commits scannen. Codex Security untersucht potenzielle Schwachstellen, versucht, sie in einer isolierten Umgebung zu bestätigen, und schlägt Korrekturen vor, die dein Team prüfen kann.
So funktioniert Codex Security
Codex Security richtet seine Analyse an einem Bedrohungsmodell aus. Das Modell beschreibt Einstiegspunkte für Angriffe, Vertrauensgrenzen, sensible Daten und wichtige Codepfade. Du kannst es einsehen und bearbeiten, damit es die Bereitstellung deiner Anwendung widerspiegelt. Scans des gesamten Repositorys bewerten die Codebasis, während Commit-Scans Änderungen am Repository untersuchen.
Einen Scan ausführen
Wähle einen Scan des gesamten Repositorys oder einen Commit-Scan und warte, bis der Scan abgeschlossen ist. Codex Security nutzt das Bedrohungsmodell des Repositorys, um potenzielle Schwachstellen zu untersuchen.
Kostenpflichtige Nutzung
Codex Security Cloud wird auf Token-Basis abgerechnet. Unternehmen, die das Produkt bereits nutzen, werden benachrichtigt und müssen der kostenpflichtigen Nutzung vor Beginn aktiv zustimmen.
Wenn keine Mittel für Scans verfügbar sind, werden die Scans pausiert. Prüfe den Abrechnungshinweis und die verfügbaren Mittel, bevor du kostenpflichtige Scans fortsetzt.
Zugriff auf Daybreak Blue
Der in Codex Security Cloud enthaltene Zugriff auf Daybreak Blue gilt innerhalb des Cloud-Produkts. Er gewährt keinen Zugriff auf Daybreak Blue in anderen Codex Security-Produkten oder über die API.
Erste Schritte
Gehen Sie zu Codex Security.
Verbinden und aktivieren Sie die GitHub-Repositorys, die Codex Security scannen soll.
Warten Sie, bis der erste Scan abgeschlossen ist. Codex Security erstellt zunächst ein Bedrohungsmodell für das Projekt und scannt den Repository-Verlauf auf bestehende Schwachstellen. Bei großen Projekten kann dies länger dauern. Scans von neuem Code sind schneller.
Prüfen Sie Findings, Validierungsdetails und vorgeschlagene Patches.
Rollenbasierte Zugriffskontrollen (RBAC)
Für Enterprise- und Edu-Workspaces können Administrator:innen den Zugriff auf Codex Security in den Workspace-Berechtigungen verwalten. Für Codex Security müssen sowohl der Zugriff auf Codex Cloud als auch der Zugriff auf Codex Security für den Workspace aktiviert sein. Der Zugriff kann über RBAC auch auf bestimmte Rollen oder Gruppen beschränkt werden, einschließlich per SCIM synchronisierter Gruppen. Damit Mitglieder Codex-Security-Scankonfigurationen verwalten können, aktivieren Sie außerdem die Codex-Security-Adminberechtigung für die entsprechende Rolle oder Gruppe.
So aktualisieren Sie die Berechtigungen Ihres Workspaces:
Wählen Sie in ChatGPT Ihr Profilsymbol aus und dann Workspace-Einstellungen > Berechtigungen, um die Workspace-Berechtigungen zu öffnen.
Scrollen Sie nach unten zu Codex Cloud.
Stellen Sie sicher, dass der Zugriff auf Codex Cloud aktiviert ist.
Aktivieren oder deaktivieren Sie den Zugriff, indem Sie Mitgliedern die Nutzung von Codex Security erlauben. umschalten.
Wenn die Rolle oder Gruppe Scankonfigurationen verwalten soll, aktivieren Sie außerdem Mitgliedern das Verwalten von Codex Security erlauben.
Erfahren Sie mehr über rollenbasierte Zugriffskontrollen in Ihrem ChatGPT-Workspace.
Best Practices
Beginnen Sie mit einer kleinen Auswahl von Repositorys und einer dedizierten Gruppe von Prüfer:innen. Wir empfehlen zunächst einen fokussierten Rollout, insbesondere solange Onboarding und das Teilen von Schwachstellen noch relativ manuell erfolgen.
Verfeinern Sie das Bedrohungsmodell, während Sie dazulernen. Kleine Aktualisierungen am Modell können den Kontext verbessern und Findings im Laufe der Zeit präziser machen.
Wenn Sie derzeit GitHub Cloud nicht verwenden, sollten Sie für die Evaluierung mit risikoärmeren Repositorys oder Nicht-Produktions-Repositorys beginnen. Das kann Teams dabei helfen, Vertrauen in den Workflow aufzubauen, bevor sie ihn breiter einführen.
Prüfen Sie generierte Patch-PRs mit Ihrem normalen Review-Prozess. Wir empfehlen außerdem, Codex Code Review für Codex-Security-PRs zu verwenden, damit die Behebung keine Regressionen einführt.
Häufig gestellte Fragen
Ändert Codex Security meinen Code automatisch?
Nein. Codex Security schlägt einen Patch zur Prüfung durch Menschen vor. Aus diesem Vorschlag kann ein pull request erstellt werden, dein Code wird jedoch nicht automatisch geändert.
Nutzt Codex Security Fuzzing oder signaturbasierte Scans?
Nein. Codex Security nutzt statt Fuzzing oder signaturbasierten Scans das Reasoning von Sprachmodellen, Rechenleistung zur Testzeit, Tools und große Kontextfenster.
Kann ich das Bedrohungsmodell prüfen oder bearbeiten?
Ja. Das Bedrohungsmodell ist einsehbar und bearbeitbar. So können Teams prüfen, wie Codex Security die Anwendung versteht, und Annahmen an ihre Umgebung anpassen.
Was bedeutet Validierung?
Bei der Validierung versucht Codex Security, eine potenzielle Schwachstelle in einer isolierten Umgebung zu reproduzieren, bevor sie gemeldet wird. Dadurch sollen Fehlalarme reduziert und die Aussagekraft der Ergebnisse erhöht werden.
Was geschieht, nachdem ein Ergebnis validiert wurde?
Nach der Validierung schlägt Codex Security einen Patch vor, der die Ursache behebt und zur Prüfung in einen pull request überführt werden kann.