Codex Security 是一項研究預覽功能，供 ChatGPT Enterprise、Edu、Business 及 Pro 用戶使用。它協助團隊識別、驗證和修復程式碼中的漏洞。其設計更像安全研究員，而非傳統掃描器：它會讀取程式碼、執行測試、探索真實可行的攻擊路徑，並提出團隊可在正常工作流程中審查的修補程式。
概覽
Codex Security 會連接 GitHub 程式碼庫，並根據你的程式碼建立專屬的威脅模型。你可以掃描整個程式碼庫，或掃描提交記錄。Codex Security 會調查潛在漏洞，嘗試在隔離環境中驗證，並提出修正方案供你的團隊審核。
Codex Security 的運作方式
Codex Security 會以威脅模型為依據進行分析。此模型描述攻擊者的入侵途徑、信任邊界、敏感資料及重要的程式碼執行路徑。你可以檢視並編輯此模型，使其反映應用程式的部署方式。完整程式碼庫掃描會評估整個程式碼庫，而提交記錄掃描則會檢查程式碼庫中的變更。
執行掃描
選擇掃描整個程式碼庫或提交記錄，然後等候掃描完成。Codex Security 會利用程式碼庫的威脅模型調查潛在漏洞。
付費使用
Codex Security Cloud 按 Token 用量計費。現有客戶會收到通知，並須主動同意後才開始付費使用。
如無可用資金支付掃描費用，掃描便會暫停。繼續付費掃描前，請先查看計費通知及可用資金。
Daybreak Blue 使用權限
Codex Security Cloud 隨附的 Daybreak Blue 使用權限僅適用於 Cloud 產品內。此權限不包括在其他 Codex Security 產品中或透過 API 使用 Daybreak Blue。
開始使用
前往 Codex Security。
連接並啟用你希望 Codex Security 掃描的 GitHub 程式碼庫。
等待初始掃描完成。Codex Security 會先為專案建立威脅模型，並掃描程式碼庫歷史以找出現有漏洞。大型專案可能需時較長。新程式碼的掃描會較快。
審查發現項目、驗證詳情和建議修補程式。
角色型存取控制（RBAC）
對於 Enterprise 和 Edu 工作區，管理員可在工作區權限中管理 Codex Security 存取權。Codex Security 需要為工作區同時啟用 Codex Cloud 和 Codex Security 存取權。亦可透過 RBAC 將存取權限制於特定角色或群組，包括 SCIM 同步的群組。如要讓成員管理 Codex Security 掃描配置，亦請為相應角色或群組啟用 Codex Security 管理員權限。
如要更新你的工作區權限：
在 ChatGPT 中，選擇你的個人檔案圖示，然後選擇 Workspace Settings > Permissions 以開啟工作區權限。
向下捲動至 Codex Cloud。
確保已啟用 Codex Cloud 存取權。
切換 Allow members to use Codex Security. 以啟用或停用存取權。
如果該角色或群組應管理掃描配置，亦請啟用 Allow members to administer Codex Security.
進一步了解 ChatGPT 工作區中的角色型存取控制。
最佳實踐
先從少量程式碼庫和專責審查員群組開始。我們建議初期採用聚焦式推出，尤其是在上線導入和漏洞分享仍相對依賴人手操作期間。
隨着學習逐步完善威脅模型。對模型作出小幅更新，可改善上下文，並讓發現項目隨時間更精準。
如果你目前未使用 GitHub Cloud，可考慮先以較低風險或非生產程式碼庫作評估。這可協助團隊在更廣泛採用前，建立對工作流程的信心。
使用你的一般審查流程，審查產生的修補程式 PR。我們亦建議在 Codex Security PR 上使用 Codex Code Review，確保修復不會引入回歸問題。
常見問題
Codex Security 會自動修改我的程式碼嗎？
不會。Codex Security 會提出修補程式，供人員審查。該修補建議可轉為 pull request，但不會自動修改你的程式碼。
Codex Security 是否依賴模糊測試或特徵碼掃描？
不是。Codex Security 採用語言模型推理、測試時計算、工具運用及長上下文，而非模糊測試或特徵碼掃描。
我可以檢視或編輯威脅模型嗎？
可以。威脅模型可供檢視及編輯，團隊可了解 Codex Security 如何理解應用程式，並按其環境更新相關假設。
甚麼是驗證？
在驗證階段，Codex Security 會先嘗試在隔離環境中重現潛在漏洞，然後才顯示該漏洞。此步驟旨在減少誤報，並確保檢測結果具高度參考價值。
檢測結果通過驗證後會怎樣？
完成驗證後，Codex Security 會提出針對根本原因的修補程式，並可將其轉為 pull request 以供審查。