Codex Security ist als Research Preview für Nutzer:innen von ChatGPT Enterprise, Edu, Business und Pro verfügbar. Es unterstützt Teams dabei, Schwachstellen im Code zu identifizieren, zu validieren und zu beheben. Es ist so konzipiert, dass es eher wie ein:e Sicherheitsforscher:in arbeitet als wie ein herkömmlicher Scanner: Es liest Code, führt Tests aus, untersucht realistische Angriffspfade und schlägt Patches vor, die Teams in ihrem normalen Workflow prüfen können.
Übersicht
Derzeit verbindet sich Codex Security direkt mit GitHub-Repositorys. Nachdem Sie ein Repository aktiviert haben, erstellt es ein codebasisspezifisches Bedrohungsmodell, scannt den Repository-Verlauf, validiert potenzielle Schwachstellen in einer isolierten Umgebung und zeigt vorgeschlagene Korrekturen zur menschlichen Prüfung an.
Codex Security basiert auf drei Phasen: Identifikation, Validierung und Behebung. Während der Identifikation analysiert es das Repository und untersucht realistische Angriffspfade. Während der Validierung versucht es, jedes Problem zu reproduzieren, um zu bestätigen, dass es real ist. Während der Behebung generiert es einen konkreten Patch, den Teams prüfen und in einen Pull Request überführen können.
So funktioniert Codex Security
Wenn Codex Security eine Verbindung zu einem Repository herstellt, scannt es Commits in umgekehrt chronologischer Reihenfolge und erstellt ein codebasisspezifisches Bedrohungsmodell. Dieses Modell erfasst Einstiegspunkte für Angreifer:innen, Vertrauensgrenzen, sensible Daten und Codepfade mit hoher Auswirkung, die Codex verwendet, um die Analyse auf realistische Angriffsszenarien zu fokussieren. Teams können das Bedrohungsmodell einsehen und bearbeiten, damit es ihre tatsächlichen Deployment-Annahmen widerspiegelt.
Codex Security folgt einem geschlossenen Workflow zur Behebung:
Repository scannen: Codex verbindet sich mit Ihrem GitHub-Repository, analysiert die Codebasis und erstellt ein Bedrohungsmodell aus dem Repository- und Commit-Verlauf.
Schwachstellen entdecken: Mithilfe dieses Bedrohungsmodells untersucht Codex realistische Codepfade und identifiziert potenzielle Schwachstellen.
In einer Sandbox validieren: Codex führt einen automatisierten Validator in einer isolierten Umgebung aus, um das Problem zu reproduzieren, Ausführungsdetails zu erfassen und die Ausnutzbarkeit zu bestätigen, bevor das Finding angezeigt wird.
Patch generieren: Für validierte Schwachstellen erstellt Codex einen minimalen Patchvorschlag, der die Grundursache behebt.
Menschliche Prüfung und Pull Request: Der Patch ändert Ihren Code nicht automatisch. Er wird zur menschlichen Prüfung angezeigt und kann für Ihren normalen Workflow in einen Pull Request überführt werden.
Nach der Behebung erneut validieren: Nachdem ein bestätigtes Problem gepatcht und gemergt wurde, kann Codex die Korrektur erneut validieren und damit den Kreislauf von der Erkennung bis zur Behebung schließen.
Für jedes Finding kann Codex Security eine Angriffspfadanalyse erstellen, die zeigt, wie von Angreifer:innen kontrollierte Eingaben von einem Einstiegspunkt zu einem sensiblen Ergebnis gelangen könnten. Es bewertet diesen Pfad nach Wahrscheinlichkeit und Auswirkung und macht die zugrunde liegenden Annahmen sichtbar, was Teams hilft, realistische Risiken gegenüber isolierten Warnungen zu priorisieren.
Bevor Codex Security ein Finding anzeigt, versucht es, dieses in einer isolierten Umgebung zu reproduzieren. Der Validator zeichnet Reproduktionsergebnisse, Ausführungsdetails und Proof-of-Concept-Artefakte auf, damit Teams sich auf Findings konzentrieren können, die nachweislich tatsächlich funktionieren.
Für validierte Findings schlägt Codex Security einen minimalen Patch vor, der die Grundursache behebt. Es ändert Ihren Code nicht automatisch. Stattdessen wird der Patch zur menschlichen Prüfung angezeigt und kann in Ihrem bestehenden Workflow in einen Pull Request überführt werden.
Erste Schritte
Gehen Sie zu Codex Security.
Verbinden und aktivieren Sie die GitHub-Repositorys, die Codex Security scannen soll.
Warten Sie, bis der erste Scan abgeschlossen ist. Codex Security erstellt zunächst ein Bedrohungsmodell für das Projekt und scannt den Repository-Verlauf auf bestehende Schwachstellen. Bei großen Projekten kann dies länger dauern. Scans von neuem Code sind schneller.
Prüfen Sie Findings, Validierungsdetails und vorgeschlagene Patches.
Rollenbasierte Zugriffskontrollen (RBAC)
Für Enterprise- und Edu-Workspaces können Administrator:innen den Zugriff auf Codex Security in den Workspace-Berechtigungen verwalten. Für Codex Security müssen sowohl der Zugriff auf Codex Cloud als auch der Zugriff auf Codex Security für den Workspace aktiviert sein. Der Zugriff kann über RBAC auch auf bestimmte Rollen oder Gruppen beschränkt werden, einschließlich per SCIM synchronisierter Gruppen. Damit Mitglieder Codex-Security-Scankonfigurationen verwalten können, aktivieren Sie außerdem die Codex-Security-Adminberechtigung für die entsprechende Rolle oder Gruppe.
So aktualisieren Sie die Berechtigungen Ihres Workspaces:
Wählen Sie in ChatGPT Ihr Profilsymbol aus und dann Workspace-Einstellungen > Berechtigungen, um die Workspace-Berechtigungen zu öffnen.
Scrollen Sie nach unten zu Codex Cloud.
Stellen Sie sicher, dass der Zugriff auf Codex Cloud aktiviert ist.
Aktivieren oder deaktivieren Sie den Zugriff, indem Sie Mitgliedern die Nutzung von Codex Security erlauben. umschalten.
Wenn die Rolle oder Gruppe Scankonfigurationen verwalten soll, aktivieren Sie außerdem Mitgliedern das Verwalten von Codex Security erlauben.
Erfahren Sie mehr über rollenbasierte Zugriffskontrollen in Ihrem ChatGPT-Workspace.
Best Practices
Beginnen Sie mit einer kleinen Auswahl von Repositorys und einer dedizierten Gruppe von Prüfer:innen. Wir empfehlen zunächst einen fokussierten Rollout, insbesondere solange Onboarding und das Teilen von Schwachstellen noch relativ manuell erfolgen.
Verfeinern Sie das Bedrohungsmodell, während Sie dazulernen. Kleine Aktualisierungen am Modell können den Kontext verbessern und Findings im Laufe der Zeit präziser machen.
Wenn Sie derzeit GitHub Cloud nicht verwenden, sollten Sie für die Evaluierung mit risikoärmeren Repositorys oder Nicht-Produktions-Repositorys beginnen. Das kann Teams dabei helfen, Vertrauen in den Workflow aufzubauen, bevor sie ihn breiter einführen.
Prüfen Sie generierte Patch-PRs mit Ihrem normalen Review-Prozess. Wir empfehlen außerdem, Codex Code Review für Codex-Security-PRs zu verwenden, damit die Behebung keine Regressionen einführt.
FAQ
Ändert Codex Security meinen Code automatisch?
Nein. Codex Security schlägt einen Patch zur menschlichen Prüfung vor. Dieser Vorschlag kann in einen Pull Request überführt werden, ändert Ihren Code jedoch nicht automatisch.
Setzt Codex Security auf Fuzzing oder signaturbasiertes Scanning?
Nein. Codex Security verwendet Reasoning von Sprachmodellen, Test-Time-Compute, Toolnutzung und großen Kontext statt Fuzzing oder signaturbasiertem Scanning.
Kann ich das Bedrohungsmodell einsehen oder bearbeiten?
Ja. Das Bedrohungsmodell ist sichtbar und bearbeitbar, sodass Teams prüfen können, wie Codex Security die Anwendung versteht, und Annahmen an ihre Umgebung anpassen können.
Was bedeutet Validierung?
Validierung ist der Schritt, bei dem Codex Security versucht, eine potenzielle Schwachstelle in einer isolierten Umgebung zu reproduzieren, bevor sie angezeigt wird. Dies soll falsch-positive Ergebnisse reduzieren und sicherstellen, dass Findings aussagekräftig bleiben.
Was passiert, nachdem ein Finding validiert wurde?
Nach der Validierung schlägt Codex Security einen Patch vor, der die Grundursache behebt und in einen Pull Request zur Prüfung überführt werden kann.