Codex Security เป็นพรีวิวงานวิจัยที่พร้อมใช้งานสำหรับผู้ใช้ ChatGPT Enterprise, Edu, Business และ Pro ช่วยให้ทีมระบุ ตรวจสอบยืนยัน และแก้ไขช่องโหว่ในโค้ด ออกแบบมาให้ทำงานเหมือนนักวิจัยด้านความปลอดภัยมากกว่าสแกนเนอร์แบบดั้งเดิม โดยอ่านโค้ด รันการทดสอบ สำรวจเส้นทางการโจมตีที่สมจริง และเสนอแพตช์ที่ทีมสามารถตรวจสอบได้ในเวิร์กโฟลว์ปกติ
ภาพรวม
Codex Security เชื่อมต่อกับ Repository บน GitHub และสร้างแบบจำลองภัยคุกคามที่เหมาะกับฐานโค้ดของคุณ คุณสามารถสแกนทั้ง Repository หรือสแกนเฉพาะคอมมิตได้ Codex Security ตรวจสอบช่องโหว่ที่อาจเกิดขึ้น พยายามยืนยันว่าช่องโหว่เหล่านั้นมีอยู่จริงในสภาพแวดล้อมที่แยกไว้ และเสนอวิธีแก้ไขให้ทีมของคุณพิจารณา
การทำงานของ Codex Security
Codex Security ใช้แบบจำลองภัยคุกคามเป็นแนวทางในการวิเคราะห์ แบบจำลองนี้อธิบายจุดที่ผู้โจมตีใช้เข้าถึงระบบ ขอบเขตความเชื่อถือ ข้อมูลที่ละเอียดอ่อน และเส้นทางการทำงานของโค้ดที่สำคัญ คุณสามารถตรวจสอบและแก้ไขแบบจำลองนี้ให้สอดคล้องกับลักษณะการนำแอปพลิเคชันไปใช้งานจริงได้ การสแกนทั้ง Repository จะประเมินฐานโค้ด ส่วนการสแกนคอมมิตจะตรวจสอบการเปลี่ยนแปลงใน Repository
เริ่มสแกน
เลือกสแกนทั้ง Repository หรือสแกนเฉพาะคอมมิต แล้วรอจนการสแกนเสร็จสิ้น Codex Security ใช้แบบจำลองภัยคุกคามของ Repository เพื่อตรวจสอบช่องโหว่ที่อาจเกิดขึ้น
การใช้งานแบบเสียค่าใช้จ่าย
Codex Security Cloud คิดค่าบริการตามจำนวน Token ลูกค้าปัจจุบันจะได้รับแจ้งและต้องยืนยันยอมรับก่อนเริ่มใช้งานแบบเสียค่าใช้จ่าย
หากไม่มีเงินสำหรับการสแกน ระบบจะหยุดสแกนชั่วคราว ตรวจสอบประกาศเรื่องการเรียกเก็บเงินและยอดเงินที่ใช้ได้ ก่อนดำเนินการสแกนแบบเสียค่าใช้จ่ายต่อ
สิทธิ์เข้าถึง Daybreak Blue
สิทธิ์เข้าถึง Daybreak Blue ที่มาพร้อมกับ Codex Security Cloud ใช้ได้เฉพาะภายในผลิตภัณฑ์ Cloud เท่านั้น สิทธิ์นี้ไม่ครอบคลุมการเข้าถึง Daybreak Blue ในผลิตภัณฑ์ Codex Security อื่นๆ หรือผ่าน API
เริ่มต้นใช้งาน
ไปที่ Codex Security
เชื่อมต่อและเปิดใช้งาน Repository บน GitHub ที่คุณต้องการให้ Codex Security สแกน
รอให้การสแกนครั้งแรกเสร็จสิ้น ก่อนอื่น Codex Security จะสร้างโมเดลภัยคุกคามสำหรับโปรเจ็กต์และสแกนประวัติ Repository เพื่อหาช่องโหว่ที่มีอยู่ อาจใช้เวลานานขึ้นสำหรับโปรเจ็กต์ขนาดใหญ่ การสแกนโค้ดใหม่จะเร็วกว่า
ตรวจสอบการค้นพบ รายละเอียดการตรวจสอบยืนยัน และแพตช์ที่เสนอ
การควบคุมการเข้าถึงตามบทบาท (RBAC)
สำหรับเวิร์กสเปซ Enterprise และ Edu ผู้ดูแลระบบสามารถจัดการการเข้าถึง Codex Security ได้ในสิทธิ์ของเวิร์กสเปซ Codex Security ต้องเปิดใช้งานทั้งการเข้าถึง Codex Cloud และ Codex Security สำหรับเวิร์กสเปซ ยังสามารถจำกัดการเข้าถึงไว้เฉพาะบทบาทหรือกลุ่มที่กำหนดผ่าน RBAC รวมถึงกลุ่มที่ซิงค์ด้วย SCIM หากต้องการให้สมาชิกจัดการการกำหนดค่าการสแกนของ Codex Security ให้เปิดใช้สิทธิ์ผู้ดูแลระบบ Codex Security สำหรับบทบาทหรือกลุ่มที่เหมาะสมด้วย
วิธีอัปเดตสิทธิ์ของเวิร์กสเปซของคุณ:
ใน ChatGPT ให้เลือกไอคอนโปรไฟล์ของคุณ จากนั้นเลือก Workspace Settings > Permissions เพื่อเปิดสิทธิ์ของเวิร์กสเปซ
เลื่อนลงไปที่ Codex Cloud
ตรวจสอบให้แน่ใจว่าเปิดใช้งานการเข้าถึง Codex Cloud แล้ว
เปิดหรือปิดการเข้าถึงโดยสลับ Allow members to use Codex Security.
หากบทบาทหรือกลุ่มควรจัดการการกำหนดค่าการสแกน ให้เปิดใช้ Allow members to administer Codex Security. ด้วย
เรียนรู้เพิ่มเติมเกี่ยวกับการควบคุมการเข้าถึงตามบทบาทในเวิร์กสเปซ ChatGPT ของคุณ
แนวทางปฏิบัติที่ดีที่สุด
เริ่มต้นด้วย Repository จำนวนไม่มากและกลุ่มผู้ตรวจสอบเฉพาะทาง เราแนะนำให้เริ่มต้นด้วยการเปิดตัวแบบมุ่งเน้น โดยเฉพาะในช่วงที่การเริ่มใช้งานและการแชร์ช่องโหว่ยังค่อนข้างเป็นแบบแมนนวล
ปรับแต่งโมเดลภัยคุกคามเมื่อคุณเรียนรู้มากขึ้น การอัปเดตโมเดลเล็กน้อยสามารถปรับปรุงบริบทและทำให้การค้นพบแม่นยำขึ้นเมื่อเวลาผ่านไป
หากปัจจุบันคุณไม่ได้ใช้ GitHub Cloud ให้พิจารณาเริ่มต้นด้วย Repository ที่มีความเสี่ยงต่ำกว่าหรือไม่ใช่ระบบโปรดักชันเพื่อการประเมิน สิ่งนี้ช่วยให้ทีมสร้างความมั่นใจในเวิร์กโฟลว์ก่อนนำไปใช้ในวงกว้าง
ตรวจสอบ PR ของแพตช์ที่สร้างขึ้นด้วยกระบวนการตรวจสอบปกติของคุณ เรายังแนะนำให้ใช้ Codex Code Review กับ PR ของ Codex Security เพื่อให้การแก้ไขไม่ก่อให้เกิดรีเกรสชัน
คำถามที่พบบ่อย
Codex Security แก้ไขโค้ดของฉันโดยอัตโนมัติหรือไม่
ไม่ Codex Security จะเสนอแพตช์เพื่อให้ผู้ใช้ตรวจสอบ ข้อเสนอดังกล่าวสามารถเปลี่ยนเป็น pull request ได้ แต่ระบบจะไม่แก้ไขโค้ดของคุณโดยอัตโนมัติ
Codex Security ใช้การทดสอบแบบฟัซซิงหรือการสแกนตามลายเซ็นหรือไม่
ไม่ Codex Security ใช้การให้เหตุผลของโมเดลภาษา การประมวลผลขณะทดสอบ การใช้เครื่องมือ และบริบทขนาดใหญ่ แทนการทดสอบแบบฟัซซิงหรือการสแกนตามลายเซ็น
ฉันสามารถตรวจสอบหรือแก้ไขโมเดลภัยคุกคามได้หรือไม่
ได้ คุณสามารถดูและแก้ไขโมเดลภัยคุกคามได้ ทีมจึงตรวจสอบได้ว่า Codex Security เข้าใจแอปพลิเคชันอย่างไร และปรับสมมติฐานให้สอดคล้องกับสภาพแวดล้อมของตนได้
การตรวจสอบความถูกต้องหมายถึงอะไร
การตรวจสอบความถูกต้องคือขั้นตอนที่ Codex Security พยายามจำลองช่องโหว่ที่อาจเกิดขึ้นในสภาพแวดล้อมที่แยกออกมา ก่อนแสดงผลให้ผู้ใช้ทราบ ขั้นตอนนี้มีไว้เพื่อลดผลบวกลวงและคงไว้เฉพาะสิ่งที่ตรวจพบซึ่งมีนัยสำคัญ
จะเกิดอะไรขึ้นหลังจากยืนยันสิ่งที่ตรวจพบแล้ว
หลังจากตรวจสอบความถูกต้องแล้ว Codex Security จะเสนอแพตช์ที่แก้ไขสาเหตุหลักและสามารถเปลี่ยนเป็น pull request เพื่อรับการตรวจสอบได้