Codex Security là bản xem trước nghiên cứu dành cho người dùng ChatGPT Enterprise, Edu, Business và Pro. Nó giúp các nhóm xác định, xác thực và khắc phục lỗ hổng trong mã. Nó được thiết kế để hoạt động giống một nhà nghiên cứu bảo mật hơn là một trình quét truyền thống: đọc mã, chạy kiểm thử, khám phá các đường tấn công thực tế và đề xuất bản vá để các nhóm xem xét trong quy trình làm việc thông thường.
Tổng quan
Codex Security kết nối với các kho lưu trữ GitHub và xây dựng mô hình mối đe dọa phù hợp với cơ sở mã của bạn. Bạn có thể quét toàn bộ kho lưu trữ hoặc quét các commit. Codex Security điều tra các lỗ hổng tiềm ẩn, tìm cách xác thực chúng trong một môi trường cô lập và đề xuất các bản sửa lỗi để nhóm của bạn xem xét.
Cách Codex Security hoạt động
Codex Security sử dụng mô hình mối đe dọa để định hướng quá trình phân tích. Mô hình này mô tả các điểm xâm nhập của kẻ tấn công, ranh giới tin cậy, dữ liệu nhạy cảm và các luồng thực thi mã quan trọng. Bạn có thể kiểm tra và chỉnh sửa mô hình để phản ánh cách ứng dụng của mình được triển khai. Quét toàn bộ kho lưu trữ giúp đánh giá cơ sở mã, còn quét commit giúp kiểm tra các thay đổi trong kho lưu trữ.
Chạy lượt quét
Chọn quét toàn bộ kho lưu trữ hoặc quét commit rồi chờ lượt quét hoàn tất. Codex Security sử dụng mô hình mối đe dọa của kho lưu trữ để điều tra các lỗ hổng tiềm ẩn.
Sử dụng có tính phí
Codex Security Cloud tính phí theo token. Khách hàng hiện tại sẽ nhận được thông báo và phải chủ động đồng ý trước khi bắt đầu sử dụng có tính phí.
Nếu không có kinh phí cho các lượt quét, hoạt động quét sẽ tạm dừng. Xem lại thông báo tính phí và kinh phí hiện có trước khi tiếp tục quét có tính phí.
Quyền truy cập Daybreak Blue
Quyền truy cập Daybreak Blue đi kèm Codex Security Cloud chỉ áp dụng trong sản phẩm Cloud. Quyền này không cho phép truy cập Daybreak Blue trong các sản phẩm Codex Security khác hoặc qua API.
Bắt đầu
Truy cập Codex Security.
Kết nối và bật các kho lưu trữ GitHub mà bạn muốn Codex Security quét.
Chờ quá trình quét ban đầu hoàn tất. Trước tiên, Codex Security xây dựng mô hình mối đe dọa cho dự án và quét lịch sử kho lưu trữ để tìm các lỗ hổng hiện có. Quá trình này có thể mất nhiều thời gian hơn đối với các dự án lớn. Quét mã mới sẽ nhanh hơn.
Xem xét các phát hiện, chi tiết xác thực và bản vá được đề xuất.
Kiểm soát truy cập dựa trên vai trò (RBAC)
Đối với không gian làm việc Enterprise và Edu, quản trị viên có thể quản lý quyền truy cập Codex Security trong phần quyền của không gian làm việc. Codex Security yêu cầu bật cả quyền truy cập Codex Cloud và Codex Security cho không gian làm việc. Quyền truy cập cũng có thể được giới hạn cho các vai trò hoặc nhóm cụ thể thông qua RBAC, bao gồm cả các nhóm được đồng bộ hóa bằng SCIM. Để cho phép thành viên quản lý cấu hình quét Codex Security, hãy bật thêm quyền quản trị Codex Security cho vai trò hoặc nhóm phù hợp.
Để cập nhật quyền của không gian làm việc:
Trong ChatGPT, chọn biểu tượng hồ sơ của bạn, rồi chọn Cài đặt không gian làm việc > Quyền để mở quyền của không gian làm việc.
Cuộn xuống Codex Cloud.
Đảm bảo quyền truy cập Codex Cloud đã được bật.
Bật hoặc tắt quyền truy cập bằng cách chuyển đổi Cho phép thành viên sử dụng Codex Security.
Nếu vai trò hoặc nhóm cần quản lý cấu hình quét, hãy bật thêm Cho phép thành viên quản trị Codex Security.
Tìm hiểu thêm về kiểm soát truy cập dựa trên vai trò trong không gian làm việc ChatGPT của bạn.
Các phương pháp hay nhất
Bắt đầu với một nhóm nhỏ các kho lưu trữ và một nhóm người xem xét chuyên trách. Chúng tôi khuyến nghị triển khai tập trung lúc đầu, đặc biệt khi việc làm quen và chia sẻ lỗ hổng vẫn còn tương đối thủ công.
Tinh chỉnh mô hình mối đe dọa khi bạn học hỏi thêm. Những cập nhật nhỏ cho mô hình có thể cải thiện ngữ cảnh và giúp các phát hiện chính xác hơn theo thời gian.
Nếu hiện tại bạn không sử dụng GitHub Cloud, hãy cân nhắc bắt đầu với các kho lưu trữ rủi ro thấp hơn hoặc không dùng cho môi trường sản xuất để đánh giá. Điều đó có thể giúp các nhóm xây dựng sự tự tin vào quy trình làm việc trước khi áp dụng rộng rãi hơn.
Xem xét các PR bản vá được tạo bằng quy trình xem xét thông thường của bạn. Chúng tôi cũng khuyến nghị sử dụng Codex Code Review trên các PR của Codex Security để việc khắc phục không gây ra hồi quy.
Câu hỏi thường gặp
Codex Security có tự động thay đổi mã của tôi không?
Không. Codex Security đề xuất bản vá để con người xem xét. Đề xuất đó có thể được chuyển thành một pull request, nhưng sẽ không tự động sửa đổi mã của bạn.
Codex Security có dựa vào kỹ thuật kiểm thử fuzzing hoặc quét dựa trên chữ ký không?
Không. Codex Security sử dụng khả năng suy luận của mô hình ngôn ngữ, tài nguyên tính toán tại thời điểm kiểm thử, công cụ và ngữ cảnh lớn, thay vì kỹ thuật fuzzing hoặc quét dựa trên chữ ký.
Tôi có thể xem hoặc chỉnh sửa mô hình mối đe dọa không?
Có. Mô hình mối đe dọa có thể được xem và chỉnh sửa, nhờ đó các nhóm có thể kiểm tra cách Codex Security hiểu ứng dụng và cập nhật các giả định cho phù hợp với môi trường của mình.
Xác thực nghĩa là gì?
Xác thực là bước Codex Security cố gắng tái hiện một lỗ hổng tiềm ẩn trong môi trường cô lập trước khi báo cáo lỗ hổng đó. Bước này nhằm giảm kết quả dương tính giả và bảo đảm các phát hiện có độ tin cậy cao.
Điều gì xảy ra sau khi một phát hiện được xác thực?
Sau khi xác thực, Codex Security đề xuất một bản vá xử lý nguyên nhân gốc rễ và có thể được chuyển thành pull request để xem xét.