Codex Security е истражувачки преглед достапен за корисниците на ChatGPT Enterprise, Edu, Business и Pro. Им помага на тимовите да идентификуваат, валидираат и отстрануваат ранливости во кодот. Дизајниран е да работи повеќе како истражувач за безбедност отколку како традиционален скенер: чита код, извршува тестови, истражува реалистични патеки на напад и предлага закрпи што тимовите можат да ги прегледаат во својот вообичаен работен тек.
Преглед
Codex Security се поврзува со репозиториуми на GitHub и создава модел на закани приспособен на вашиот код. Можете да скенирате цел репозиториум или поединечни комити. Codex Security ги истражува потенцијалните ранливости, се обидува да ги потврди во изолирана околина и предлага поправки што вашиот тим може да ги прегледа.
Како работи Codex Security
Codex Security користи модел на закани за да ја насочи својата анализа. Моделот ги опишува влезните точки за напаѓачите, границите на доверба, чувствителните податоци и важните патеки на извршување на кодот. Можете да го прегледате и уредите за да одговара на начинот на кој е поставена вашата апликација. Скенирањето на целиот репозиториум го проценува целиот код, додека скенирањето на комити ги испитува промените во репозиториумот.
Започнете скенирање
Изберете скенирање на целиот репозиториум или на комит и почекајте скенирањето да заврши. Codex Security го користи моделот на закани за репозиториумот за да ги истражи потенцијалните ранливости.
Користење со наплата
Codex Security Cloud се наплаќа според бројот на токени. Постојните корисници добиваат известување и мора да дадат согласност пред да започне користењето со наплата.
Ако нема достапни средства за скенирање, скенирањето се паузира. Прегледајте го известувањето за наплата и достапните средства пред да продолжите со скенирање со наплата.
Пристап до Daybreak Blue
Пристапот до Daybreak Blue што е вклучен во Codex Security Cloud важи во рамките на производот Cloud. Тој не овозможува пристап до Daybreak Blue во други производи на Codex Security или преку API.
Започнете
Одете на Codex Security.
Поврзете ги и овозможете ги GitHub репозиториумите што сакате Codex Security да ги скенира.
Почекајте да заврши почетното скенирање. Codex Security прво гради модел на закани за проектот и ја скенира историјата на репозиториумот за постојни ранливости. Ова може да потрае подолго за големи проекти. Скенирањата на нов код се побрзи.
Прегледајте ги наодите, деталите за валидација и предложените закрпи.
Контроли за пристап базирани на улоги (RBAC)
За работните простори Enterprise и Edu, администраторите можат да управуваат со пристапот до Codex Security во дозволите на работниот простор. Codex Security бара да бидат овозможени и пристапот до Codex Cloud и пристапот до Codex Security за работниот простор. Пристапот може да се ограничи и на одредени улоги или групи преку RBAC, вклучувајќи групи синхронизирани со SCIM. За да им овозможите на членовите да управуваат со конфигурациите за скенирање на Codex Security, овозможете ја и администраторската дозвола за Codex Security за соодветната улога или група.
За да ги ажурирате дозволите на вашиот работен простор:
Во ChatGPT, изберете ја иконата на вашиот профил, па изберете Поставки на работниот простор > Дозволи за да ги отворите дозволите на работниот простор.
Скролувајте надолу до Codex Cloud.
Осигурете се дека пристапот до Codex Cloud е овозможен.
Овозможете или оневозможете пристап со префрлање на Дозволи им на членовите да користат Codex Security.
Ако улогата или групата треба да управува со конфигурациите за скенирање, овозможете и Дозволи им на членовите да администрираат Codex Security.
Дознајте повеќе за контролите за пристап базирани на улоги во вашиот работен простор ChatGPT.
Најдобри практики
Започнете со мал сет репозиториуми и посветена група прегледувачи. Препорачуваме на почеток фокусирано воведување, особено додека воведувањето корисници и споделувањето ранливости сè уште се релативно рачни.
Усовршувајте го моделот на закани додека учите. Мали ажурирања на моделот можат со текот на времето да го подобрат контекстот и да ги направат наодите попрецизни.
Ако денес не користите GitHub Cloud, размислете да започнете со репозиториуми со понизок ризик или што не се продукциски за евалуација. Тоа може да им помогне на тимовите да изградат доверба во работниот тек пред пошироко усвојување.
Прегледувајте ги генерираните барања за повлекување со закрпи преку вашиот вообичаен процес на преглед. Исто така препорачуваме да користите Codex Code Review за барањата за повлекување од Codex Security за отстранувањето да не воведе регресии.
Најчесто поставувани прашања
Дали Codex Security автоматски го менува мојот код?
Не. Codex Security предлага закрпа што треба да ја прегледа човек. Предлогот може да се претвори во pull request, но не го менува вашиот код автоматски.
Дали Codex Security се потпира на фуз-тестирање или скенирање врз основа на потписи?
Не. Codex Security користи расудување со јазичен модел, пресметување за време на тестирањето, употреба на алатки и голем контекст, наместо фуз-тестирање или скенирање врз основа на потписи.
Може ли да го прегледам или уредам моделот на закани?
Да. Моделот на закани е видлив и може да се уредува, па тимовите можат да проверат како Codex Security ја разбира апликацијата и да ги ажурираат претпоставките според својата околина.
Што значи валидација?
Валидацијата е чекор во кој Codex Security се обидува да репродуцира потенцијална ранливост во изолирана околина пред да ја прикаже. Целта е да се намалат лажно позитивните резултати и да се задржат само релевантните наоди.
Што се случува откако ќе се потврди наодот?
По валидацијата, Codex Security предлага закрпа што ја отстранува основната причина и може да се претвори во pull request за преглед.