Codex Security je raziskovalni predogled, ki je na voljo uporabnikom ChatGPT Enterprise, Edu, Business in Pro. Ekipam pomaga prepoznati, preveriti in odpraviti ranljivosti v kodi. Zasnovan je tako, da deluje bolj kot varnostni raziskovalec kot tradicionalni pregledovalnik: bere kodo, izvaja preizkuse, raziskuje realistične poti napada in predlaga popravke, ki jih lahko ekipe pregledajo v svojem običajnem poteku dela.
Pregled
Codex Security se poveže z repozitoriji na GitHubu in ustvari model groženj, prilagojen vaši kodni zbirki. Pregledate lahko celoten repozitorij ali posamezne potrditve sprememb. Codex Security razišče morebitne ranljivosti, jih poskuša potrditi v izoliranem okolju in predlaga popravke, ki jih lahko pregleda vaša ekipa.
Kako deluje Codex Security
Codex Security analizo usmerja s pomočjo modela groženj. Model opisuje vstopne točke za napadalce, meje zaupanja, občutljive podatke in pomembne poti izvajanja kode. Lahko ga pregledate in uredite tako, da odraža način uvedbe vaše aplikacije. Pregledi celotnega repozitorija ocenijo kodno zbirko, pregledi potrditev sprememb pa proučijo spremembe v repozitoriju.
Zaženite pregled
Izberite pregled celotnega repozitorija ali potrditve sprememb in počakajte, da se pregled konča. Codex Security za preiskovanje morebitnih ranljivosti uporablja model groženj repozitorija.
Plačljiva uporaba
Codex Security Cloud se obračunava glede na porabo žetonov. Obstoječe stranke prejmejo obvestilo in morajo pred začetkom plačljive uporabe vanjo privoliti.
Če za preglede ni na voljo sredstev, se pregledovanje začasno ustavi. Preden nadaljujete s plačljivim pregledovanjem, preberite obvestilo o obračunavanju in preverite razpoložljiva sredstva.
Dostop do Daybreak Blue
Dostop do Daybreak Blue, vključen v Codex Security Cloud, velja znotraj izdelka Cloud. Ne omogoča dostopa do Daybreak Blue v drugih izdelkih Codex Security ali prek API-ja.
Začnite
Pojdite na Codex Security.
Povežite in omogočite repozitorije GitHub, za katere želite, da jih Codex Security pregleda.
Počakajte, da se začetni pregled konča. Codex Security najprej zgradi model groženj za projekt in pregleda zgodovino repozitorija za obstoječe ranljivosti. Pri velikih projektih lahko to traja dlje. Pregledi nove kode so hitrejši.
Preglejte ugotovitve, podrobnosti preverjanja in predlagane popravke.
Nadzor dostopa na podlagi vlog (RBAC)
Za delovne prostore Enterprise in Edu lahko skrbniki upravljajo dostop do Codex Security v dovoljenjih delovnega prostora. Za Codex Security morata biti za delovni prostor omogočena dostopa do Codex Cloud in Codex Security. Dostop je mogoče prek RBAC omejiti tudi na določene vloge ali skupine, vključno s skupinami, sinhroniziranimi prek SCIM. Če želite članom omogočiti upravljanje konfiguracij pregledov Codex Security, za ustrezno vlogo ali skupino omogočite tudi skrbniško dovoljenje za Codex Security.
Če želite posodobiti dovoljenja svojega delovnega prostora:
V ChatGPT izberite ikono svojega profila, nato izberite Nastavitve delovnega prostora > Dovoljenja, da odprete dovoljenja delovnega prostora.
Pomaknite se navzdol do Codex Cloud.
Prepričajte se, da je dostop do Codex Cloud omogočen.
Omogočite ali onemogočite dostop s preklopom možnosti Dovoli članom uporabo Codex Security.
Če naj vloga ali skupina upravlja konfiguracije pregledov, omogočite tudi Dovoli članom skrbništvo nad Codex Security.
Preberite več o nadzoru dostopa na podlagi vlog v svojem delovnem prostoru ChatGPT.
Najboljše prakse
Začnite z majhnim naborom repozitorijev in namensko skupino pregledovalcev. Priporočamo, da uvajanje sprva osredotočite, zlasti dokler sta uvajanje uporabnikov in deljenje ranljivosti še razmeroma ročna.
Model groženj izboljšujte sproti, ko se učite. Majhne posodobitve modela lahko izboljšajo kontekst in sčasoma povečajo natančnost ugotovitev.
Če danes ne uporabljate GitHub Cloud, razmislite, da bi za ocenjevanje začeli z manj tveganimi ali neprodukcijskimi repozitoriji. To lahko ekipam pomaga pridobiti zaupanje v potek dela pred širšo uvedbo.
Ustvarjene zahtevke pridružitve sprememb s popravki preglejte z običajnim postopkom pregleda. Priporočamo tudi uporabo Codex Code Review za zahtevke pridružitve sprememb Codex Security, da odpravljanje ne uvede regresij.
Pogosta vprašanja
Ali Codex Security samodejno spreminja mojo kodo?
Ne. Codex Security predlaga popravek, ki ga pregleda človek. Ta predlog je mogoče pretvoriti v pull request, vendar vaše kode ne spremeni samodejno.
Ali Codex Security uporablja mehko testiranje ali pregledovanje na podlagi podpisov?
Ne. Codex Security namesto mehkega testiranja ali pregledovanja na podlagi podpisov uporablja sklepanje jezikovnega modela, računske zmogljivosti med testiranjem, orodja in obsežen kontekst.
Ali si lahko ogledam ali uredim model groženj?
Da. Model groženj je viden in ga je mogoče urejati, zato lahko ekipe preverijo, kako Codex Security razume aplikacijo, ter predpostavke prilagodijo svojemu okolju.
Kaj pomeni preverjanje?
Pri preverjanju poskuša Codex Security morebitno ranljivost poustvariti v izoliranem okolju, preden jo prikaže. Namen tega je zmanjšati število lažno pozitivnih rezultatov in zagotoviti visoko relevantnost ugotovitev.
Kaj se zgodi po potrditvi ugotovitve?
Po preverjanju Codex Security predlaga popravek, ki odpravi temeljni vzrok in ga je mogoče pretvoriti v pull request za pregled.