Codex Security 是一项研究预览，面向 ChatGPT Enterprise、Edu、Business 和 Pro 用户提供。它帮助团队识别、验证并修复代码中的漏洞。它的设计更像安全研究员，而不是传统扫描器：它会阅读代码、运行测试、探索真实的攻击路径，并提出团队可在常规工作流中审查的补丁。
概览
目前，Codex Security 会直接连接到 GitHub 代码仓库。启用代码仓库后，它会构建特定于代码库的威胁模型，扫描代码仓库历史，在隔离环境中验证潜在漏洞，并呈现提议的修复方案供人工审查。
Codex Security 围绕三个阶段构建：识别、验证和修复。在识别阶段，它会分析代码仓库并探索真实的攻击路径。在验证阶段，它会尝试复现每个问题，以确认其真实存在。在修复阶段，它会生成具体补丁，团队可以审查并提升为拉取请求。
Codex Security 的工作原理
当 Codex Security 连接到代码仓库时，它会按时间倒序扫描提交，并构建特定于代码库的威胁模型。该模型会捕获攻击者入口点、信任边界、敏感数据和高影响代码路径，Codex 会利用这些信息将分析聚焦于真实的攻击场景。团队可以检查并编辑威胁模型，使其反映真实的部署假设。
Codex Security 遵循闭环修复工作流：
扫描代码仓库： Codex 连接到你的 GitHub 代码仓库，分析代码库，并根据代码仓库和提交历史构建威胁模型。
发现漏洞： Codex 使用该威胁模型探索真实的代码路径，并识别潜在漏洞。
在沙盒中验证： Codex 在隔离环境中运行自动验证器，以复现问题、捕获执行详情，并在呈现发现项之前确认可利用性。
生成补丁： 对于已验证的漏洞，Codex 会生成一个解决根本原因的最小补丁建议。
人工审查和拉取请求： 该补丁不会自动修改你的代码。它会呈现出来供人工审查，并可转为拉取请求以纳入你的常规工作流。
修复后重新验证： 在已确认的问题得到修补并合并后，Codex 可以重新验证修复，从检测到修复形成闭环。
对于每个发现项，Codex Security 可以生成攻击路径分析，展示攻击者控制的输入如何从入口点移动到敏感结果。它会按可能性和影响对该路径评分，并显示底层假设，帮助团队优先处理真实风险，而不是孤立警报。
在呈现发现项之前，Codex Security 会尝试在隔离环境中复现该问题。验证器会记录复现结果、执行详情和概念验证工件，让团队可以专注于已实际证明可行的发现项。
对于已验证的发现项，Codex Security 会提出一个解决根本原因的最小补丁。它不会自动修改你的代码。相反，补丁会呈现出来供人工审查，并可在你现有的工作流中转为拉取请求。
开始使用
前往 Codex Security。
连接并启用你希望 Codex Security 扫描的 GitHub 代码仓库。
等待初始扫描完成。Codex Security 会先为项目构建威胁模型，并扫描代码仓库历史以查找现有漏洞。对于大型项目，这可能需要更长时间。新代码的扫描速度更快。
审查发现项、验证详情和提议的补丁。
基于角色的访问控制 (RBAC)
对于 Enterprise 和 Edu 工作空间，管理员可以在工作空间权限中管理 Codex Security 访问权限。Codex Security 要求为工作空间同时启用 Codex Cloud 和 Codex Security 访问权限。还可以通过 RBAC 将访问权限限制为特定角色或组，包括通过 SCIM 同步的组。若要让成员管理 Codex Security 扫描配置，还需为相应角色或组启用 Codex Security 管理员权限。
要更新工作空间的权限：
在 ChatGPT 中，选择你的个人资料图标，然后选择 工作空间设置 > 权限，打开工作空间权限。
向下滚动到 Codex Cloud。
确保已启用 Codex Cloud 访问权限。
通过切换 允许成员使用 Codex Security。 来启用或停用访问权限。
如果该角色或组需要管理扫描配置，还需启用 允许成员管理 Codex Security。
详细了解 ChatGPT 工作空间中的基于角色的访问控制。
最佳实践
从少量代码仓库和专门的审查员小组开始。我们建议一开始采用聚焦的推出方式，尤其是在入门引导和漏洞共享仍相对依赖手动操作时。
随着学习不断完善威胁模型。对模型进行小幅更新可以改善上下文，并让发现项随着时间推移更精确。
如果你目前不使用 GitHub Cloud，可以考虑从风险较低或非生产环境的代码仓库开始评估。这有助于团队在更广泛采用之前建立对工作流的信心。
使用常规审查流程审查生成的补丁 PR。我们还建议在 Codex Security PR 上使用 Codex Code Review，确保修复不会引入回归。
常见问题
Codex Security 会自动更改我的代码吗？
不会。Codex Security 会提出补丁供人工审查。该提案可以转为拉取请求，但不会自动修改你的代码。
Codex Security 依赖模糊测试或基于签名的扫描吗？
不依赖。Codex Security 使用语言模型推理、测试时计算、工具使用和大上下文，而不是模糊测试或基于签名的扫描。
我可以检查或编辑威胁模型吗？
可以。威胁模型可见且可编辑，因此团队可以检查 Codex Security 如何理解应用，并更新假设以匹配自身环境。
验证是什么意思？
验证是 Codex Security 在呈现潜在漏洞之前，尝试在隔离环境中复现该漏洞的步骤。这旨在减少误报，并保持发现项的高信号质量。
发现项验证通过后会发生什么？
验证通过后，Codex Security 会提出一个修补方案，用于解决根本原因，并可转为拉取请求以供审查。