Codex セキュリティ¶
ローカルで最初に実行するスキャンについては、手順に沿って進められる Codex Security プラグインのクイックスタートから始めてください。
プラグインのユースケースを確認する¶
- リポジトリまたはスコープを限定した 1 つのフォルダーに対して、セキュリティスキャンを実行します。
- より包括的なスキャンが必要で、完了まで長く待てる場合は、詳細なセキュリティスキャンを実行します。
- プルリクエストまたはブランチをマージする前に、コード変更をレビューします。
- 既存のセキュリティ検出結果をレビューする必要がある場合は、バックログをトリアージします。
- 承認済みの検出結果に対して、範囲を限定したパッチで検出結果を修正して検証します。
- ポータブルなアーティファクトまたは承認が必要な追跡先として、検出結果をエクスポートまたは追跡します。
- 提供された検出結果、開示メモ、ソース、および PoC から脆弱性レポートを作成します。
- スキャン結果またはその他のセキュリティの証拠に基づいて、セキュリティ強化を提案します。
- Codex Security プラグインの新機能を確認します。
このプラグインは Codex チャットで実行されます。Codex Security cloud は、Codex cloud を通じて接続された GitHub リポジトリをスキャンします。Codex のサンドボックス化、承認、ネットワーク制御、管理者設定については、エージェントの承認とセキュリティを参照してください。
Codex Security cloud¶
Codex Security cloud は現在、リサーチプレビューです。接続された GitHub リポジトリをスキャンし、セキュリティ上の問題の可能性を検出します。
チームでは、次のことができます。
- リポジトリ固有の脅威モデルと実際のコードコンテキストを使用して、脆弱性の可能性を検出します。
- レビュー前に検出結果を検証して、ノイズを減らします。
- ランク付けされた結果、証拠、推奨パッチの選択肢を使って、検出結果を修正につなげます。
Codex Security cloud の仕組み¶
Codex Security は、接続されたリポジトリをコミットごとにスキャンします。 リポジトリからスキャンコンテキストを構築し、そのコンテキストに照らして脆弱性の可能性を確認します。また、シグナルの強い問題を分離環境で検証してから提示します。
次の点に重点を置いたワークフローを利用できます。
- 汎用的なシグネチャではなく、リポジトリ固有のコンテキスト
- 誤検出の削減に役立つ検証の証拠
- GitHub でレビューできる推奨修正
Codex Security cloud へのアクセスと前提条件¶
Codex Security cloud は、Codex cloud を通じて接続された GitHub リポジトリで動作します。リポジトリが表示されない場合は、そのリポジトリが Codex cloud ワークスペースで利用可能か確認するか、OpenAI のアカウントチームにお問い合わせください。
関連ドキュメント¶
- Codex Security プラグインのクイックスタートでは、インストールと最初のローカルスキャンについて説明します。
- Codex Security cloud のセットアップでは、セットアップ、スキャン、検出結果のレビューについて詳しく説明します。
- 脅威モデルの改善では、スコープ、攻撃対象領域、重大度の前提を調整する方法について説明します。
- Codex Security cloud FAQでは、クラウド製品に関するよくある質問を取り上げます。