Το Codex Security είναι μια ερευνητική προεπισκόπηση διαθέσιμη για χρήστες ChatGPT Enterprise, Edu, Business και Pro. Βοηθά τις ομάδες να εντοπίζουν, να επικυρώνουν και να αποκαθιστούν ευπάθειες στον κώδικα. Έχει σχεδιαστεί ώστε να λειτουργεί περισσότερο σαν ερευνητής ασφάλειας παρά σαν παραδοσιακός σαρωτής: διαβάζει κώδικα, εκτελεί δοκιμές, εξερευνά ρεαλιστικές διαδρομές επίθεσης και προτείνει ενημερώσεις κώδικα που οι ομάδες μπορούν να ελέγχουν στην κανονική ροή εργασίας τους.
Επισκόπηση
Σήμερα, το Codex Security συνδέεται απευθείας σε αποθετήρια GitHub. Αφού ενεργοποιήσετε ένα αποθετήριο, δημιουργεί ένα μοντέλο απειλών ειδικό για τη βάση κώδικα, σαρώνει το ιστορικό του αποθετηρίου, επικυρώνει πιθανές ευπάθειες σε απομονωμένο περιβάλλον και εμφανίζει προτεινόμενες διορθώσεις για ανθρώπινο έλεγχο.
Το Codex Security βασίζεται σε τρία στάδια: εντοπισμό, επικύρωση και αποκατάσταση. Κατά τον εντοπισμό, αναλύει το αποθετήριο και εξερευνά ρεαλιστικές διαδρομές επίθεσης. Κατά την επικύρωση, επιχειρεί να αναπαραγάγει κάθε ζήτημα για να επιβεβαιώσει ότι είναι πραγματικό. Κατά την αποκατάσταση, δημιουργεί μια συγκεκριμένη ενημέρωση κώδικα που οι ομάδες μπορούν να ελέγξουν και να μετατρέψουν σε αίτημα συγχώνευσης κώδικα.
Πώς λειτουργεί το Codex Security
Όταν το Codex Security συνδέεται σε ένα αποθετήριο, σαρώνει τα commit με αντίστροφη χρονολογική σειρά και δημιουργεί ένα μοντέλο απειλών ειδικό για τη βάση κώδικα. Αυτό το μοντέλο αποτυπώνει σημεία εισόδου επιτιθέμενων, όρια εμπιστοσύνης, ευαίσθητα δεδομένα και διαδρομές κώδικα υψηλού αντικτύπου, τα οποία το Codex χρησιμοποιεί για να εστιάζει την ανάλυση σε ρεαλιστικά σενάρια επίθεσης. Οι ομάδες μπορούν να επιθεωρούν και να επεξεργάζονται το μοντέλο απειλών ώστε να αντικατοπτρίζει τις πραγματικές παραδοχές ανάπτυξής τους.
Το Codex Security ακολουθεί μια ροή εργασίας αποκατάστασης κλειστού βρόχου:
Σάρωση του αποθετηρίου: Το Codex συνδέεται στο αποθετήριό σας στο GitHub, αναλύει τη βάση κώδικα και δημιουργεί ένα μοντέλο απειλών από το αποθετήριο και το ιστορικό commit.
Ανακάλυψη ευπαθειών: Χρησιμοποιώντας αυτό το μοντέλο απειλών, το Codex εξερευνά ρεαλιστικές διαδρομές κώδικα και εντοπίζει πιθανές ευπάθειες.
Επικύρωση σε sandbox: Το Codex εκτελεί έναν αυτοματοποιημένο επικυρωτή σε απομονωμένο περιβάλλον για να αναπαραγάγει το ζήτημα, να καταγράψει λεπτομέρειες εκτέλεσης και να επιβεβαιώσει τη δυνατότητα εκμετάλλευσης πριν εμφανίσει το εύρημα.
Δημιουργία ενημέρωσης κώδικα: Για επικυρωμένες ευπάθειες, το Codex παράγει μια ελάχιστη πρόταση ενημέρωσης κώδικα που αντιμετωπίζει τη βασική αιτία.
Ανθρώπινος έλεγχος και αίτημα συγχώνευσης κώδικα: Η ενημέρωση κώδικα δεν τροποποιεί αυτόματα τον κώδικά σας. Εμφανίζεται για ανθρώπινο έλεγχο και μπορεί να μετατραπεί σε αίτημα συγχώνευσης κώδικα για την κανονική ροή εργασίας σας.
Επανεπικύρωση μετά την αποκατάσταση: Αφού ένα επιβεβαιωμένο ζήτημα διορθωθεί και συγχωνευθεί, το Codex μπορεί να επανεπικυρώσει τη διόρθωση, κλείνοντας τον κύκλο από τον εντοπισμό έως την αποκατάσταση.
Για κάθε εύρημα, το Codex Security μπορεί να παράγει ανάλυση διαδρομής επίθεσης που δείχνει πώς η είσοδος που ελέγχεται από επιτιθέμενο θα μπορούσε να μετακινηθεί από ένα σημείο εισόδου σε ένα ευαίσθητο αποτέλεσμα. Βαθμολογεί αυτή τη διαδρομή ως προς την πιθανότητα και τον αντίκτυπο και κάνει ορατές τις υποκείμενες παραδοχές, βοηθώντας τις ομάδες να δίνουν προτεραιότητα σε ρεαλιστικούς κινδύνους αντί για μεμονωμένες ειδοποιήσεις.
Πριν εμφανίσει ένα εύρημα, το Codex Security επιχειρεί να το αναπαραγάγει σε απομονωμένο περιβάλλον. Ο επικυρωτής καταγράφει αποτελέσματα αναπαραγωγής, λεπτομέρειες εκτέλεσης και τεκμήρια απόδειξης ιδέας, ώστε οι ομάδες να μπορούν να εστιάζουν σε ευρήματα που έχει πράγματι αποδειχθεί ότι λειτουργούν.
Για επικυρωμένα ευρήματα, το Codex Security προτείνει μια ελάχιστη ενημέρωση κώδικα που αντιμετωπίζει τη βασική αιτία. Δεν τροποποιεί αυτόματα τον κώδικά σας. Αντίθετα, η ενημέρωση κώδικα εμφανίζεται για ανθρώπινο έλεγχο και μπορεί να μετατραπεί σε αίτημα συγχώνευσης κώδικα στην υπάρχουσα ροή εργασίας σας.
Ξεκινήστε
Μεταβείτε στο Codex Security.
Συνδέστε και ενεργοποιήστε τα αποθετήρια GitHub που θέλετε να σαρώσει το Codex Security.
Περιμένετε να ολοκληρωθεί η αρχική σάρωση. Το Codex Security δημιουργεί πρώτα ένα μοντέλο απειλών για το έργο και σαρώνει το ιστορικό του αποθετηρίου για υπάρχουσες ευπάθειες. Αυτό μπορεί να διαρκέσει περισσότερο για μεγάλα έργα. Οι σαρώσεις νέου κώδικα είναι ταχύτερες.
Ελέγξτε ευρήματα, λεπτομέρειες επικύρωσης και προτεινόμενες ενημερώσεις κώδικα.
Στοιχεία ελέγχου πρόσβασης βάσει ρόλων (RBAC)
Για χώρους εργασίας Enterprise και Edu, οι διαχειριστές μπορούν να διαχειρίζονται την πρόσβαση στο Codex Security στα δικαιώματα του χώρου εργασίας. Το Codex Security απαιτεί να είναι ενεργοποιημένη για τον χώρο εργασίας τόσο η πρόσβαση στο Codex Cloud όσο και η πρόσβαση στο Codex Security. Η πρόσβαση μπορεί επίσης να περιοριστεί σε συγκεκριμένους ρόλους ή ομάδες μέσω RBAC, συμπεριλαμβανομένων ομάδων συγχρονισμένων με SCIM. Για να επιτρέψετε στα μέλη να διαχειρίζονται διαμορφώσεις σάρωσης του Codex Security, ενεργοποιήστε επίσης το δικαίωμα διαχειριστή Codex Security για τον κατάλληλο ρόλο ή ομάδα.
Για να ενημερώσετε τα δικαιώματα του χώρου εργασίας σας:
Στο ChatGPT, επιλέξτε το εικονίδιο του προφίλ σας και έπειτα επιλέξτε Workspace Settings > Permissions για να ανοίξετε τα δικαιώματα χώρου εργασίας.
Κάντε κύλιση προς τα κάτω στο Codex Cloud.
Βεβαιωθείτε ότι η πρόσβαση στο Codex Cloud είναι ενεργοποιημένη.
Ενεργοποιήστε ή απενεργοποιήστε την πρόσβαση αλλάζοντας τον διακόπτη Allow members to use Codex Security.
Αν ο ρόλος ή η ομάδα πρέπει να διαχειρίζεται διαμορφώσεις σάρωσης, ενεργοποιήστε επίσης το Allow members to administer Codex Security.
Μάθετε περισσότερα σχετικά με τα στοιχεία ελέγχου πρόσβασης βάσει ρόλων στον χώρο εργασίας σας στο ChatGPT.
Βέλτιστες πρακτικές
Ξεκινήστε με ένα μικρό σύνολο αποθετηρίων και μια ειδική ομάδα ελεγκτών. Συνιστούμε αρχικά μια εστιασμένη διάθεση, ειδικά όσο η ένταξη και η κοινή χρήση ευπαθειών παραμένουν σχετικά μη αυτόματες.
Βελτιώστε το μοντέλο απειλών καθώς μαθαίνετε. Μικρές ενημερώσεις στο μοντέλο μπορούν να βελτιώσουν το πλαίσιο και να κάνουν τα ευρήματα πιο ακριβή με την πάροδο του χρόνου.
Αν δεν χρησιμοποιείτε σήμερα το GitHub Cloud, εξετάστε το ενδεχόμενο να ξεκινήσετε με αποθετήρια χαμηλότερου κινδύνου ή μη παραγωγικά για αξιολόγηση. Αυτό μπορεί να βοηθήσει τις ομάδες να αποκτήσουν εμπιστοσύνη στη ροή εργασίας πριν από την ευρύτερη υιοθέτηση.
Ελέγξτε τα δημιουργημένα αιτήματα συγχώνευσης κώδικα για ενημερώσεις κώδικα με την κανονική διαδικασία ελέγχου σας. Συνιστούμε επίσης να χρησιμοποιείτε το Codex Code Review στα αιτήματα συγχώνευσης κώδικα του Codex Security, ώστε η αποκατάσταση να μην εισάγει παλινδρομήσεις.
Συχνές ερωτήσεις
Το Codex Security αλλάζει αυτόματα τον κώδικά μου;
Όχι. Το Codex Security προτείνει μια ενημέρωση κώδικα για ανθρώπινο έλεγχο. Αυτή η πρόταση μπορεί να μετατραπεί σε αίτημα συγχώνευσης κώδικα, αλλά δεν τροποποιεί αυτόματα τον κώδικά σας.
Το Codex Security βασίζεται σε fuzzing ή σάρωση βάσει υπογραφών;
Όχι. Το Codex Security χρησιμοποιεί συλλογιστική γλωσσικού μοντέλου, υπολογισμό κατά τον χρόνο δοκιμής, χρήση εργαλείων και μεγάλο πλαίσιο, αντί για fuzzing ή σάρωση βάσει υπογραφών.
Μπορώ να επιθεωρήσω ή να επεξεργαστώ το μοντέλο απειλών;
Ναι. Το μοντέλο απειλών είναι ορατό και επεξεργάσιμο, ώστε οι ομάδες να μπορούν να επιθεωρούν πώς το Codex Security κατανοεί την εφαρμογή και να ενημερώνουν τις παραδοχές ώστε να ταιριάζουν με το περιβάλλον τους.
Τι σημαίνει επικύρωση;
Η επικύρωση είναι το βήμα στο οποίο το Codex Security προσπαθεί να αναπαραγάγει μια πιθανή ευπάθεια σε απομονωμένο περιβάλλον πριν την εμφανίσει. Αυτό έχει σκοπό να μειώσει τα ψευδώς θετικά αποτελέσματα και να διατηρήσει τα ευρήματα υψηλής αξίας.
Τι συμβαίνει αφού επικυρωθεί ένα εύρημα;
Μετά την επικύρωση, το Codex Security προτείνει μια ενημέρωση κώδικα που αντιμετωπίζει τη βασική αιτία και μπορεί να μετατραπεί σε αίτημα συγχώνευσης κώδικα για έλεγχο.