Codex Security は、チームがコード内の脆弱性を特定、検証、修正するのを支援するリサーチプレビューです。従来のスキャナーよりもセキュリティ研究者に近い形で動作するよう設計されており、コードを読み、テストを実行し、現実的な攻撃経路を探索し、チームが通常のワークフローでレビューできるパッチを提案します。
概要
現在、Codex Security は GitHub リポジトリに直接接続します。リポジトリを有効にすると、コードベース固有の脅威モデルを構築し、リポジトリの履歴をスキャンし、隔離環境で潜在的な脆弱性を検証し、人によるレビュー向けに修正案を提示します。
Codex Security は、特定、検証、修正の 3 つの段階を中心に構築されています。特定の段階では、リポジトリを分析し、現実的な攻撃経路を探索します。検証の段階では、各問題の再現を試み、実在することを確認します。修正の段階では、チームがレビューしてプルリクエストにできる具体的なパッチを生成します。
Codex Security の仕組み
Codex Security がリポジトリに接続すると、コミットを新しい順にさかのぼってスキャンし、コードベース固有の脅威モデルを構築します。このモデルは、攻撃者の侵入口、信頼境界、機密データ、高影響のコードパスを捉え、Codex が現実的な攻撃シナリオに分析を集中できるようにします。チームは脅威モデルを確認して編集できるため、実際のデプロイ前提を反映させられます。
Codex Security はクローズドループの修正ワークフローに従います。
リポジトリをスキャン: Codex が GitHub リポジトリに接続し、コードベースを分析し、リポジトリとコミット履歴から脅威モデルを構築します。
脆弱性を発見: その脅威モデルを使って、Codex が現実的なコードパスを探索し、潜在的な脆弱性を特定します。
サンドボックスで検証: Codex が隔離環境で自動バリデーターを実行し、問題を再現して、実行の詳細を記録し、結果を表示する前に悪用可能かを確認します。
パッチを生成: 検証済みの脆弱性について、Codex は根本原因に対処する最小限のパッチ提案を生成します。
人によるレビューとプルリクエスト: パッチがコードを自動変更することはありません。人によるレビュー用に提示され、通常のワークフローでプルリクエストにできます。
修正後に再検証: 確認済みの問題がパッチ適用されてマージされた後、Codex は修正を再検証でき、検出から修正までのループを閉じます。
各検出結果について、Codex Security は、攻撃者が制御する入力が侵入口から機微な結果にどう到達しうるかを示す攻撃経路分析を生成できます。その経路を可能性と影響度で評価し、前提条件も可視化することで、チームは孤立したアラートではなく現実的なリスクを優先できます。
検出結果を表示する前に、Codex Security は隔離環境でその再現を試みます。バリデーターは、再現結果、実行の詳細、概念実証アーティファクトを記録するため、チームは実際に成立することが示された検出結果に集中できます。
検証済みの検出結果に対して、Codex Security は根本原因に対処する最小限のパッチを提案します。コードを自動的に変更することはありません。代わりに、パッチは人によるレビュー向けに提示され、既存のワークフロー内でプルリクエストにできます。
利用開始
chatgpt.com/codex/security にアクセスします。
Codex Security にスキャンさせたい GitHub リポジトリを接続して有効にします。
初回スキャンの完了を待ちます。Codex Security はまずプロジェクトの脅威モデルを構築し、既存の脆弱性がないかリポジトリ履歴をスキャンします。大規模なプロジェクトでは時間がかかる場合があります。新しいコードのスキャンはより高速です。
検出結果、検証の詳細、提案されたパッチをレビューします。
ロールベースのアクセス制御（RBAC）
Enterprise および Edu ワークスペースでは、管理者はワークスペース権限で Codex Security へのアクセスを管理できます。Codex Security を使用するには、ワークスペースで Codex Cloud と Codex Security の両方のアクセスを有効にする必要があります。アクセスは、SCIM 同期グループを含む特定のロールまたはグループに対して、RBAC を通じて制限することもできます。メンバーに Codex Security のスキャン設定を管理させるには、適切なロールまたはグループに対して Codex Security 管理者権限も有効にしてください。
ワークスペースの権限を更新するには:
ChatGPT でプロフィールアイコンをクリックし、Workspace Settings -> Permissions を選択して、ワークスペース権限ページに移動します。
Codex Cloud までスクロールします。
Codex Cloud アクセスが有効になっていることを確認します。
Allow members to use Codex Security. を切り替えてアクセスを有効または無効にします。
そのロールまたはグループにスキャン設定を管理させる場合は、Allow members to administer Codex Security. も有効にします。
ChatGPT ワークスペースのロールベースのアクセス制御について詳しく見る
ベストプラクティス
少数のリポジトリと専任のレビュアーグループから始めてください。特にオンボーディングと脆弱性共有がまだ比較的手動である間は、まずは対象を絞った導入を推奨します。
学びに応じて脅威モデルを洗練してください。モデルへの小さな更新でも、コンテキストが改善され、時間とともに検出結果の精度が高まります。
現在 GitHub Cloud を使用していない場合は、評価用に低リスクまたは本番以外のリポジトリから始めることを検討してください。これにより、より広く導入する前に、チームがワークフローへの信頼を築くのに役立ちます。
生成されたパッチ PR は通常のレビュープロセスで確認してください。また、修正によってリグレッションが発生しないよう、Codex Security の PR で Codex Code Review を使うことも推奨します。
FAQ
Codex Security はコードを自動的に変更しますか？
いいえ。Codex Security は人によるレビュー向けのパッチを提案します。その提案はプルリクエストにできますが、コードを自動的に変更することはありません。
Codex Security はファジングやシグネチャベースのスキャンに依存していますか？
いいえ。Codex Security は、ファジングやシグネチャベースのスキャンではなく、言語モデルの推論、テスト時コンピュート、ツール利用、大きなコンテキストを活用しています。
脅威モデルを確認または編集できますか？
はい。脅威モデルは表示および編集可能であるため、チームは Codex Security がアプリケーションをどう理解しているかを確認し、自分たちの環境に合わせて前提を更新できます。
検証とは何を意味しますか？
検証とは、Codex Security が検出結果を表示する前に、隔離環境で潜在的な脆弱性の再現を試みるステップです。これは誤検知を減らし、検出結果のシグナルの質を高く保つことを目的としています。
検出結果が検証された後はどうなりますか？
検証後、Codex Security は根本原因に対処するパッチを提案し、レビュー用のプルリクエストにできます。