Codex Security er en forskningsforhåndsvisning som er tilgjengelig for brukere av ChatGPT Enterprise, Edu, Business og Pro. Det hjelper team med å identifisere, validere og utbedre sårbarheter i kode. Det er utformet for å fungere mer som en sikkerhetsforsker enn en tradisjonell skanner: Det leser kode, kjører tester, utforsker realistiske angrepsveier og foreslår oppdateringer som team kan gjennomgå i sin vanlige arbeidsflyt.
Oversikt
Codex Security kobler seg til GitHub-lagre og bygger en trusselmodell tilpasset kodebasen din. Du kan skanne et helt lager eller skanne commits. Codex Security undersøker mulige sårbarheter, forsøker å bekrefte dem i et isolert miljø og foreslår rettelser som teamet ditt kan gjennomgå.
Slik fungerer Codex Security
Codex Security bruker en trusselmodell som grunnlag for analysen. Modellen beskriver inngangspunkter for angripere, tillitsgrenser, sensitive data og viktige kjøringsbaner i koden. Du kan gjennomgå og redigere den slik at den gjenspeiler hvordan applikasjonen din er satt i drift. Skanninger av hele lageret vurderer kodebasen, mens commit-skanninger undersøker endringer i lageret.
Kjør en skanning
Velg en skanning av hele lageret eller en commit-skanning, og vent til skanningen er fullført. Codex Security bruker lagerets trusselmodell til å undersøke mulige sårbarheter.
Betalt bruk
Codex Security Cloud bruker tokenbasert fakturering. Eksisterende kunder blir varslet og må samtykke før betalt bruk starter.
Hvis det ikke er midler tilgjengelig til skanninger, settes skanningen på pause. Gå gjennom faktureringsvarselet og sjekk tilgjengelige midler før du fortsetter med betalte skanninger.
Tilgang til Daybreak Blue
Tilgangen til Daybreak Blue som følger med Codex Security Cloud, gjelder innenfor Cloud-produktet. Den gir ikke tilgang til Daybreak Blue i andre Codex Security-produkter eller via API-et.
Kom i gang
Gå til Codex Security.
Koble til og aktiver GitHub-lagrene du vil at Codex Security skal skanne.
Vent til den første skanningen er ferdig. Codex Security bygger først en trusselmodell for prosjektet og skanner lagerhistorikken etter eksisterende sårbarheter. Dette kan ta lengre tid for store prosjekter. Skanninger av ny kode går raskere.
Gjennomgå funn, valideringsdetaljer og foreslåtte oppdateringer.
Rollebaserte tilgangskontroller (RBAC)
For Enterprise- og Edu-arbeidsområder kan administratorer administrere tilgang til Codex Security i tillatelsene for arbeidsområdet. Codex Security krever at både tilgang til Codex Cloud og Codex Security er aktivert for arbeidsområdet. Tilgang kan også begrenses til bestemte roller eller grupper gjennom RBAC, inkludert SCIM-synkroniserte grupper. For å la medlemmer administrere skannekonfigurasjoner for Codex Security må du også aktivere administratortillatelsen for Codex Security for den aktuelle rollen eller gruppen.
Slik oppdaterer du tillatelsene for arbeidsområdet:
I ChatGPT velger du profilikonet ditt, og deretter Innstillinger for arbeidsområde > Tillatelser for å åpne tillatelser for arbeidsområdet.
Rull ned til Codex Cloud.
Kontroller at tilgang til Codex Cloud er aktivert.
Aktiver eller deaktiver tilgang ved å slå av eller på Tillat medlemmer å bruke Codex Security.
Hvis rollen eller gruppen skal administrere skannekonfigurasjoner, aktiverer du også Tillat medlemmer å administrere Codex Security.
Finn ut mer om rollebaserte tilgangskontroller i ChatGPT-arbeidsområdet ditt.
Anbefalte fremgangsmåter
Start med et lite sett med lagre og en dedikert gruppe med gjennomgåere. Vi anbefaler en fokusert utrulling i starten, særlig mens innføring og deling av sårbarheter fortsatt er relativt manuelt.
Forbedre trusselmodellen etter hvert som du lærer. Små oppdateringer av modellen kan forbedre konteksten og gjøre funn mer presise over tid.
Hvis du ikke bruker GitHub Cloud i dag, bør du vurdere å starte med lagre med lavere risiko eller lagre som ikke er i produksjon, for evaluering. Det kan hjelpe team med å bygge tillit til arbeidsflyten før bredere innføring.
Gjennomgå genererte oppdaterings-PR-er med den vanlige gjennomgangsprosessen din. Vi anbefaler også å bruke Codex Code Review på PR-er fra Codex Security, slik at utbedring ikke innfører regresjoner.
Vanlige spørsmål
Endrer Codex Security koden min automatisk?
Nei. Codex Security foreslår en rettelse som et menneske må gjennomgå. Forslaget kan gjøres om til en pull request, men det endrer ikke koden din automatisk.
Baserer Codex Security seg på fuzzing eller signaturbasert skanning?
Nei. Codex Security bruker resonnering med språkmodeller, beregning ved testtid, verktøy og stor kontekst i stedet for fuzzing eller signaturbasert skanning.
Kan jeg se eller redigere trusselmodellen?
Ja. Trusselmodellen er synlig og kan redigeres, slik at team kan se hvordan Codex Security forstår applikasjonen, og tilpasse antakelsene til sitt eget miljø.
Hva innebærer validering?
Under valideringen prøver Codex Security å gjenskape en mulig sårbarhet i et isolert miljø før den rapporteres. Dette skal redusere antallet falske positiver og sikre relevante og treffsikre funn.
Hva skjer etter at et funn er validert?
Etter valideringen foreslår Codex Security en rettelse som løser den underliggende årsaken, og som kan gjøres om til en pull request for gjennomgang.