Codex Security je výskumná ukážka dostupná pre používateľov ChatGPT Enterprise, Edu, Business a Pro. Pomáha tímom identifikovať, overovať a odstraňovať zraniteľnosti v kóde. Je navrhnutý tak, aby fungoval skôr ako bezpečnostný výskumník než tradičný skener: číta kód, spúšťa testy, skúma realistické cesty útoku a navrhuje opravy, ktoré môžu tímy skontrolovať vo svojom bežnom pracovnom postupe.
Prehľad
Codex Security sa pripája k repozitárom na GitHube a vytvára model hrozieb prispôsobený vášmu zdrojovému kódu. Môžete skenovať celý repozitár alebo jednotlivé commity. Codex Security skúma potenciálne zraniteľnosti, pokúša sa ich overiť v izolovanom prostredí a navrhuje opravy, ktoré môže váš tím posúdiť.
Ako funguje Codex Security
Codex Security sa pri analýze riadi modelom hrozieb. Model opisuje vstupné body pre útočníkov, hranice dôvery, citlivé údaje a dôležité cesty vykonávania kódu. Môžete ho skontrolovať a upraviť tak, aby zodpovedal spôsobu nasadenia vašej aplikácie. Skenovanie celého repozitára vyhodnocuje zdrojový kód, zatiaľ čo skenovanie commitov skúma zmeny v repozitári.
Spustite skenovanie
Vyberte skenovanie celého repozitára alebo commitu a počkajte na dokončenie. Codex Security používa model hrozieb repozitára na skúmanie potenciálnych zraniteľností.
Platené používanie
Codex Security Cloud účtuje poplatky podľa počtu tokenov. Existujúci zákazníci dostanú upozornenie a pred začatím plateného používania musia udeliť súhlas.
Ak nie sú k dispozícii prostriedky na skenovanie, skenovanie sa pozastaví. Pred pokračovaním v platenom skenovaní si prečítajte oznámenie o účtovaní poplatkov a skontrolujte dostupné prostriedky.
Prístup k Daybreak Blue
Prístup k Daybreak Blue zahrnutý v Codex Security Cloud platí v rámci produktu Cloud. Neumožňuje prístup k Daybreak Blue v iných produktoch Codex Security ani prostredníctvom API.
Začíname
Prejdite na Codex Security.
Pripojte a povoľte repozitáre GitHub, ktoré má Codex Security skenovať.
Počkajte na dokončenie úvodného skenovania. Codex Security najprv vytvorí model hrozieb pre projekt a skenuje históriu repozitára na existujúce zraniteľnosti. Pri veľkých projektoch to môže trvať dlhšie. Skenovania nového kódu sú rýchlejšie.
Skontrolujte zistenia, podrobnosti overenia a navrhované opravy.
Riadenie prístupu na základe rolí (RBAC)
V pracovných priestoroch Enterprise a Edu môžu správcovia spravovať prístup ku Codex Security v povoleniach pracovného priestoru. Codex Security vyžaduje, aby bol pre pracovný priestor povolený prístup ku Codex Cloud aj ku Codex Security. Prístup možno prostredníctvom RBAC obmedziť aj na konkrétne roly alebo skupiny vrátane skupín synchronizovaných cez SCIM. Ak chcete členom umožniť spravovať konfigurácie skenovania Codex Security, povoľte pre príslušnú rolu alebo skupinu aj správcovské povolenie Codex Security.
Ak chcete aktualizovať povolenia svojho pracovného priestoru:
V ChatGPT vyberte ikonu svojho profilu a potom výberom položiek Nastavenia pracovného priestoru > Povolenia otvorte povolenia pracovného priestoru.
Posuňte sa nadol na Codex Cloud.
Uistite sa, že prístup ku Codex Cloud je povolený.
Povoľte alebo zakážte prístup prepnutím možnosti Povoliť členom používať Codex Security.
Ak má rola alebo skupina spravovať konfigurácie skenovania, povoľte aj možnosť Povoliť členom spravovať Codex Security.
Prečítajte si viac o riadení prístupu na základe rolí vo vašom pracovnom priestore ChatGPT.
Osvedčené postupy
Začnite s malou množinou repozitárov a vyhradenou skupinou kontrolórov. Na začiatok odporúčame cielené zavádzanie, najmä kým sú onboarding a zdieľanie zraniteľností stále relatívne manuálne.
Model hrozieb priebežne spresňujte podľa toho, čo sa naučíte. Malé aktualizácie modelu môžu zlepšiť kontext a postupne spresniť zistenia.
Ak dnes nepoužívate GitHub Cloud, zvážte začiatok hodnotenia s menej rizikovými alebo neprodukčnými repozitármi. Tímom to môže pomôcť získať dôveru v pracovný postup pred širším prijatím.
Kontrolujte vygenerované PR opráv pomocou svojho bežného procesu kontroly. Odporúčame tiež používať Codex Code Review pri PR z Codex Security, aby náprava nezaviedla regresie.
Najčastejšie otázky
Mení Codex Security automaticky môj kód?
Nie. Codex Security navrhne opravu, ktorú skontroluje človek. Z tohto návrhu možno vytvoriť pull request, váš kód sa však automaticky nezmení.
Využíva Codex Security fuzzing alebo skenovanie založené na signatúrach?
Nie. Codex Security namiesto fuzzingu či skenovania založeného na signatúrach využíva uvažovanie jazykového modelu, výpočty počas testovania, nástroje a rozsiahly kontext.
Môžem si model hrozieb prezrieť alebo upraviť?
Áno. Model hrozieb možno zobraziť aj upraviť, takže tímy môžu preskúmať, ako Codex Security chápe aplikáciu, a prispôsobiť predpoklady svojmu prostrediu.
Čo znamená overenie?
Overenie je krok, pri ktorom sa Codex Security pokúsi v izolovanom prostredí reprodukovať potenciálnu zraniteľnosť skôr, než na ňu upozorní. Cieľom je znížiť počet falošne pozitívnych výsledkov a zachovať vysokú relevanciu zistení.
Čo sa stane po overení zistenia?
Po overení Codex Security navrhne opravu, ktorá odstráni základnú príčinu a z ktorej možno vytvoriť pull request na kontrolu.