Codex Security — это исследовательская предварительная версия, доступная пользователям ChatGPT Enterprise, Edu, Business и Pro. Она помогает командам выявлять, проверять и устранять уязвимости в коде. Она спроектирована так, чтобы работать скорее как исследователь безопасности, чем как традиционный сканер: читает код, запускает тесты, исследует реалистичные пути атак и предлагает патчи, которые команды могут проверять в своем обычном рабочем процессе.
Обзор
Codex Security подключается к репозиториям GitHub и строит модель угроз с учетом особенностей вашей кодовой базы. Вы можете сканировать весь репозиторий или отдельные коммиты. Codex Security исследует потенциальные уязвимости, пытается подтвердить их в изолированной среде и предлагает исправления для проверки вашей командой.
Как работает Codex Security
Codex Security проводит анализ на основе модели угроз. Модель описывает точки входа для злоумышленников, границы доверия, конфиденциальные данные и важные пути выполнения кода. Вы можете просмотреть и отредактировать ее с учетом особенностей развертывания вашего приложения. При сканировании всего репозитория оценивается кодовая база, а при сканировании коммитов — изменения в репозитории.
Запуск сканирования
Выберите сканирование всего репозитория или коммита и дождитесь его завершения. Codex Security использует модель угроз репозитория для исследования потенциальных уязвимостей.
Платное использование
В Codex Security Cloud оплата рассчитывается по количеству токенов. Действующие клиенты получают уведомление и должны дать согласие на платное использование до его начала.
Если средства на оплату сканирования недоступны, оно приостанавливается. Прежде чем продолжить платное сканирование, ознакомьтесь с уведомлением об оплате и проверьте наличие средств.
Доступ к Daybreak Blue
Доступ к Daybreak Blue, включенный в Codex Security Cloud, действует только в рамках продукта Cloud. Он не дает доступа к Daybreak Blue в других продуктах Codex Security или через API.
Начало работы
Перейдите в Codex Security.
Подключите и включите репозитории GitHub, которые Codex Security должен сканировать.
Дождитесь завершения начального сканирования. Сначала Codex Security строит модель угроз для проекта и сканирует историю репозитория на наличие существующих уязвимостей. Для крупных проектов это может занять больше времени. Сканирование нового кода выполняется быстрее.
Просмотрите найденные проблемы, сведения о проверке и предложенные патчи.
Управление доступом на основе ролей (RBAC)
Для рабочих областей Enterprise и Edu администраторы могут управлять доступом к Codex Security в разрешениях рабочей области. Для Codex Security в рабочей области должен быть включен доступ как к Codex Cloud, так и к Codex Security. Доступ также можно ограничить определенными ролями или группами через RBAC, включая группы, синхронизированные через SCIM. Чтобы участники могли управлять конфигурациями сканирования Codex Security, также включите разрешение администратора Codex Security для соответствующей роли или группы.
Чтобы обновить разрешения рабочей области:
В ChatGPT выберите значок профиля, затем выберите Настройки рабочей области > Разрешения, чтобы открыть разрешения рабочей области.
Прокрутите вниз до Codex Cloud.
Убедитесь, что доступ к Codex Cloud включен.
Включите или отключите доступ с помощью переключателя Разрешить участникам использовать Codex Security.
Если роль или группа должна управлять конфигурациями сканирования, также включите Разрешить участникам администрировать Codex Security.
Подробнее об управлении доступом на основе ролей в рабочей области ChatGPT.
Рекомендации
Начните с небольшого набора репозиториев и выделенной группы ревьюеров. На первых этапах мы рекомендуем целенаправленное внедрение, особенно пока подключение и обмен сведениями об уязвимостях остаются относительно ручными.
Уточняйте модель угроз по мере обучения. Небольшие обновления модели могут улучшить контекст и со временем сделать результаты точнее.
Если сейчас вы не используете GitHub Cloud, для оценки рассмотрите возможность начать с репозиториев с меньшим риском или не предназначенных для продакшена. Это поможет командам укрепить уверенность в рабочем процессе перед более широким внедрением.
Проверяйте сгенерированные пулл-реквесты (PR) с патчами в рамках обычного процесса проверки. Мы также рекомендуем использовать Codex Code Review для пулл-реквестов (PR) Codex Security, чтобы исправления не вносили регрессии.
Часто задаваемые вопросы
Codex Security автоматически изменяет мой код?
Нет. Codex Security предлагает исправление для проверки человеком. На основе этого предложения можно создать pull request, но ваш код не изменяется автоматически.
Codex Security использует фаззинг или сканирование на основе сигнатур?
Нет. Вместо фаззинга и сканирования на основе сигнатур Codex Security использует рассуждения языковой модели, вычисления во время тестирования, инструменты и большой контекст.
Можно ли просматривать и редактировать модель угроз?
Да. Модель угроз доступна для просмотра и редактирования, поэтому команды могут проверить, как Codex Security понимает приложение, и скорректировать предположения с учетом своей среды.
Что означает валидация?
В ходе валидации Codex Security пытается воспроизвести потенциальную уязвимость в изолированной среде, прежде чем сообщить о ней. Это помогает сократить число ложных срабатываний и выделить наиболее значимые результаты.
Что происходит после подтверждения обнаруженной проблемы?
После валидации Codex Security предлагает исправление, которое устраняет первопричину проблемы и на основе которого можно создать pull request для проверки.