Codex Security este o previzualizare de cercetare care ajută echipele să identifice, să valideze și să remedieze vulnerabilitățile din cod. Este conceput să funcționeze mai degrabă ca un cercetător în securitate decât ca un scanner tradițional: citește codul, rulează teste, explorează căi de atac realiste și propune patch-uri pe care echipele le pot revizui în fluxul lor de lucru obișnuit.
Prezentare generală
În prezent, Codex Security se conectează direct la depozitele GitHub. După ce activezi un depozit, construiește un model de amenințări specific bazei de cod, scanează istoricul depozitului, validează vulnerabilitățile potențiale într-un mediu izolat și afișează remedieri propuse pentru revizuire umană.
Codex Security este construit în jurul a trei etape: identificare, validare și remediere. În etapa de identificare, analizează depozitul și explorează căi de atac realiste. În etapa de validare, încearcă să reproducă fiecare problemă pentru a confirma că este reală. În etapa de remediere, generează un patch concret pe care echipele îl pot revizui și transforma într-o cerere de extragere.
Cum funcționează Codex Security
Când Codex Security se conectează la un depozit, scanează commiturile în ordine cronologică inversă și construiește un model de amenințări specific bazei de cod. Acest model surprinde punctele de intrare pentru atacatori, limitele de încredere, datele sensibile și căile de cod cu impact ridicat, pe care Codex le folosește pentru a concentra analiza asupra unor scenarii de atac realiste. Echipele pot inspecta și edita modelul de amenințări astfel încât să reflecte ipotezele lor reale de implementare.
Codex Security urmează un flux de remediere în buclă închisă:
Scanează depozitul: Codex se conectează la depozitul tău GitHub, analizează baza de cod și construiește un model de amenințări din depozit și din istoricul commiturilor.
Descoperă vulnerabilități: Folosind acel model de amenințări, Codex explorează căi de cod realiste și identifică vulnerabilități potențiale.
Validează într-un sandbox: Codex rulează un validator automat într-un mediu izolat pentru a reproduce problema, a captura detaliile de execuție și a confirma posibilitatea de exploatare înainte de a afișa constatarea.
Generează un patch: Pentru vulnerabilitățile validate, Codex produce o sugestie de patch minimă care abordează cauza principală.
Revizuire umană și cerere de extragere: Patch-ul nu îți modifică automat codul. Este afișat pentru revizuire umană și poate fi transformat într-o cerere de extragere pentru fluxul tău de lucru obișnuit.
Revalidează după remediere: După ce o problemă confirmată este corectată și îmbinată, Codex poate revalida remedierea, închizând bucla de la detectare la remediere.
Pentru fiecare constatare, Codex Security poate produce o analiză a căii de atac care arată cum datele de intrare controlate de atacator ar putea trece de la un punct de intrare la un rezultat sensibil. Evaluează acea cale în funcție de probabilitate și impact și face vizibile ipotezele de bază, ceea ce ajută echipele să prioritizeze riscurile realiste în locul alertelor izolate.
Înainte de a afișa o constatare, Codex Security încearcă să o reproducă într-un mediu izolat. Validatorul înregistrează rezultatele reproducerii, detaliile de execuție și artefactele proof-of-concept, astfel încât echipele să se poată concentra pe constatările despre care s-a demonstrat efectiv că funcționează.
Pentru constatările validate, Codex Security propune un patch minim care abordează cauza principală. Nu îți modifică automat codul. În schimb, patch-ul este afișat pentru revizuire umană și poate fi transformat într-o cerere de extragere în fluxul tău de lucru existent.
Începeți
Accesați chatgpt.com/codex/security.
Conectați și activați depozitele GitHub pe care doriți ca Codex Security să le scaneze.
Așteptați finalizarea scanării inițiale. Codex Security construiește mai întâi un model de amenințări pentru proiect și scanează istoricul depozitului pentru vulnerabilități existente. Acest lucru poate dura mai mult pentru proiectele mari. Scanările codului nou sunt mai rapide.
Revizuiți constatările, detaliile de validare și patch-urile propuse.
Controale de acces bazate pe roluri (RBAC)
Pentru spațiile de lucru Enterprise și Edu, administratorii pot gestiona accesul la Codex Security din permisiunile spațiului de lucru. Codex Security necesită ca atât accesul la Codex Cloud, cât și accesul la Codex Security să fie activate pentru spațiul de lucru. Accesul poate fi, de asemenea, limitat la roluri sau grupuri specifice prin RBAC, inclusiv grupuri sincronizate prin SCIM.
Pentru a actualiza permisiunile spațiului tău de lucru:
În ChatGPT, faceți clic pe pictograma de profil și selectați Workspace Settings -> Permissions pentru a accesa pagina permisiuni ale spațiului de lucru.
Derulați în jos la Codex Cloud.
Asigurați-vă că accesul la Codex Cloud este activat.
Activați sau dezactivați accesul comutând Allow members to use Codex Security.
Aflați mai multe despre controalele de acces bazate pe roluri în spațiul dvs. de lucru ChatGPT.
Bune practici
Începeți cu un set mic de depozite și un grup dedicat de revizori. Recomandăm la început o lansare concentrată, mai ales cât timp integrarea și partajarea vulnerabilităților sunt încă relativ manuale.
Rafinați modelul de amenințări pe măsură ce învățați. Actualizările mici ale modelului pot îmbunătăți contextul și pot face constatările mai precise în timp.
Dacă nu utilizați GitHub Cloud în prezent, luați în considerare să începeți evaluarea cu depozite cu risc mai redus sau care nu sunt de producție. Acest lucru poate ajuta echipele să capete încredere în fluxul de lucru înainte de o adoptare mai largă.
Revizuiți cererile de extragere pentru patch-urile generate folosind procesul vostru obișnuit de revizuire. De asemenea, recomandăm utilizarea Codex Code Review pentru cererile de extragere Codex Security, astfel încât remedierea să nu introducă regresii.
Întrebări frecvente
Codex Security îmi modifică automat codul?
Nu. Codex Security propune un patch pentru revizuire umană. Acea propunere poate fi transformată într-o cerere de extragere, dar nu îți modifică automat codul.
Codex Security se bazează pe fuzzing sau pe scanare bazată pe semnături?
Nu. Codex Security folosește raţionament cu model de limbaj, calcul la momentul testării, utilizarea instrumentelor și context extins, mai degrabă decât fuzzing sau scanare bazată pe semnături.
Pot inspecta sau edita modelul de amenințări?
Da. Modelul de amenințări este vizibil și editabil, astfel încât echipele pot inspecta modul în care Codex Security înțelege aplicația și pot actualiza ipotezele pentru a se potrivi cu mediul lor.
Ce înseamnă validarea?
Validarea este etapa în care Codex Security încearcă să reproducă o vulnerabilitate potențială într-un mediu izolat înainte de a o afișa. Acest lucru este menit să reducă falsele pozitive și să mențină constatările relevante.
Ce se întâmplă după ce o constatare este validată?
După validare, Codex Security propune un patch care abordează cauza principală și care poate fi transformat într-o cerere de extragere pentru revizuire.