Descripción general de CI/CD de Codex Security

Ejecute Codex Security en CI para revisar los cambios de pull requests o merge requests, analizar su rama predeterminada y conservar los hallazgos y la cobertura. Consulte la guía de su proveedor de CI para conocer el flujo de trabajo, la gestión de informes y las opciones de aplicación de políticas.

Preparar el flujo de trabajo

Para ejecutar análisis se necesita acceso a Codex Security. Guarde una API key de OpenAI en el almacén de secretos de su proveedor de CI como CODEX_SECURITY_API_KEY y, después, asígnela a la variable de entorno OPENAI_API_KEY del proceso de análisis.

Ejecute análisis solo en repositorios y cambios de confianza. Los análisis usan los permisos locales del ejecutor y no se detienen para solicitar aprobación. Mantenga las credenciales no relacionadas y los pasos de despliegue en trabajos separados.

Usar un modelo Daybreak aprobado

Para acceder a Daybreak Blue a través de Trusted Access for Cyber, establezca la entrada model de la acción de GitHub en gpt-6-sol y cyber-access-program en daybreak_blue. Para los análisis directos con la CLI, use --model gpt-6-sol y --cyber-access-program daybreak_blue.

Use una API key de un proyecto que tenga Daybreak Blue habilitado y acceso al modelo seleccionado. Configurar el modelo o el programa no concede acceso. Consulte Configurar el acceso opcional a Daybreak para conocer la configuración de la acción.

Elegir una integración

Añadir el flujo de trabajo de GitHub Actions

Use la guía de GitHub Actions para las comprobaciones de pull requests y los análisis programados del repositorio. La acción de Codex Security instala la CLI, guarda los informes y añade un resumen del trabajo y anotaciones en el código fuente. La guía incluye la configuración del ejecutor, el acceso opcional a Daybreak, la carga de SARIF y la aplicación de políticas de gravedad.

Añadir la canalización de GitLab CI/CD

Use la guía de GitLab CI/CD para los análisis de merge requests, de la rama predeterminada y programados. Empiece con una canalización que solo realice análisis y, después, incorpore la gestión de informes, la aplicación de políticas y la corrección verificada opcional.

Usar otro sistema de CI

Instale el paquete público @openai/codex-security y ejecute la CLI directamente. Use --auth api-key, elija un análisis del repositorio o de diferencias y guarde la salida en un directorio privado fuera del árbol de trabajo de Git. Su ejecutor debe proporcionar las dependencias descritas en el inicio rápido de la CLI.

Consulte la referencia de la CLI para conocer las opciones de análisis, las revisiones para las diferencias, los formatos de informe, los directorios de estado y salida y el comportamiento de los reintentos.

Elegir una política de gravedad

Empiece con resultados informativos. Revise hallazgos representativos, la cobertura del análisis, el costo y el tiempo de ejecución antes de decidir qué resultados deben bloquear una fusión.

Evalúe tanto los hallazgos como si el análisis está completo. La política de gravedad evalúa los hallazgos del análisis actual cuya gravedad sea igual o superior al umbral configurado. Los hallazgos anteriores aún abiertos en el resumen del repositorio no afectan a esa política. Un análisis incompleto puede dejar áreas sin revisar aunque no informe de ningún hallazgo.

En la versión action-v0.3.0 de la acción, un análisis completado significa que el análisis configurado produjo un resultado válido. Las exclusiones de alcance, las investigaciones aplazadas y otras notas de cobertura no permiten eludir la política de gravedad. Los errores del analizador y de la generación obligatoria de informes hacen que el trabajo falle. La CLI 0.3.0 devuelve el código de salida 2 ante fallos de entrada, ejecución, integridad de resultados o salida obligatoria. Revise coverage.json al evaluar el resultado; la finalización no certifica que se hayan encontrado todas las vulnerabilidades.

Configure la aplicación de políticas en la guía de GitHub Actions o en la guía de GitLab CI/CD. Para las integraciones directas con la CLI, consulte aplicación de políticas de gravedad y códigos de salida.