Documentation ChatGPT
Français
Contact goolvyouyou@gmail.com

Security Review

Configurez et exécutez des examens de sécurité approfondis pour les pull requests GitHub.

Codex Security Review est disponible pour les clients ChatGPT Enterprise, Business, Edu et Pro. Il n’est pas disponible avec Plus. Les revues de sécurité consomment le quota Codex inclus ou des crédits ChatGPT.

Utilisez Security Review pour rechercher des problèmes de sécurité dans le diff d’une pull request GitHub et le code associé. Lorsque ces éléments sont configurés, il utilise le contexte du modèle de menaces ou les consignes de sécurité et publie les constats qui atteignent votre seuil de signalement.

Code Review peut également signaler des problèmes de sécurité lors de sa revue générale ; les deux revues peuvent donc signaler le même constat.

Avant de commencer

Pour configurer Codex Security Review automatiquement, vous avez besoin des éléments suivants :

  • Un accès à Codex Security Review pour votre espace de travail
  • Codex cloud configuré avec un dépôt GitHub connecté
  • Une autorisation GitHub de push ou d’administration pour les paramètres du dépôt

Une analyse Codex Security existante est facultative.

Configurer Codex Security Review

Les paramètres du dépôt sont partagés. Leur modification affecte les pull requests sélectionnées par la politique Revue du dépôt, et pas seulement vos propres pull requests. Les préférences personnelles s’appliquent à vos pull requests lorsque le dépôt suit les préférences personnelles.

  1. Accédez aux paramètres de Codex et choisissez un dépôt.
  2. Sous Examiner les vulnérabilités de sécurité, activez Revue de sécurité automatique.
  3. Utilisez Revue pour choisir les pull requests qui bénéficient de Codex Security Review :
    • Suivre les préférences personnelles permet à chaque contributeur d’activer la fonctionnalité dans ses propres paramètres Codex Security Review.
    • Toutes les PR s’applique à toutes les pull requests du dépôt.
    • PR de l’équipe, lorsque cette option est disponible, s’applique aux pull requests ouvertes par les membres de votre espace de travail ChatGPT, et non par ceux d’une équipe GitHub.
  4. Utilisez Déclencheur pour choisir quand Codex Security Review s’exécute :
    • À l’ouverture d’une PR lance la revue indépendamment à l’ouverture d’une pull request.
    • À chaque push lance la revue indépendamment après l’envoi de nouveaux commits.
    • À chaque revue de code nécessite Code Review et exécute Codex Security Review en parallèle.

La connexion de GitHub ou l’activation des revues personnelles pour un autre contributeur ne demande pas de revue supplémentaire de vos pull requests. Les paramètres du dépôt et les paramètres personnels déterminent si une revue automatique s’exécute ; ils ne créent pas une revue par utilisateur connecté. Les push ultérieurs peuvent déclencher une autre revue selon le paramètre Déclencheur, et vous pouvez demander des revues supplémentaires manuellement.

Ajouter le contexte du modèle de menace

Vous pouvez configurer un modèle de menace afin de fournir à Codex du contexte sur les actifs de votre application, les frontières de confiance, les hypothèses de sécurité et les risques propres au dépôt. Si le dépôt dispose déjà d’une configuration d’analyse Codex Security, vous pouvez utiliser son modèle de menace. Sinon, indiquez le chemin d’un fichier de modèle de menace versionné dans le dépôt. Si vous ne spécifiez aucune source, Codex régénère le modèle de menace à chaque examen.

Définir les seuils de signalement

Par défaut, les examens Codex Security Review automatiques signalent les constats de niveau Élevé et Critique, tandis que les examens demandés manuellement signalent ceux de niveau Moyen, Élevé et Critique. Vous pouvez modifier indépendamment le niveau de gravité minimal des examens automatiques et manuels, et ajouter des dérogations basées sur les chemins.

Les constats publiés sur une pull request héritent de la visibilité GitHub de cette pull request. Toute personne pouvant consulter la pull request peut consulter ces constats, y compris dans les dépôts publics ou les pull requests de contributeurs extérieurs à votre espace de travail. Le seuil de signalement détermine ce que Codex publie sur GitHub. Le rapport complet de Codex Security Review reste dans Codex.

Demander un examen Codex Security Review

Pour demander manuellement un examen Codex Security Review, ajoutez ce commentaire à une pull request :

@codex security review

Codex réagit pendant l’exécution de la revue, puis publie les constats qui atteignent votre seuil de signalement manuel directement sur la pull request. Ouvrez la tâche Codex associée et sélectionnez l’onglet Rapport de sécurité pour consulter le rapport complet, qui comprend la gravité, le chemin d’attaque, les éléments de preuve, la validation et les recommandations de correction. Si aucun problème n’atteint le seuil de signalement, Codex ne publie aucun constat sur la pull request. Vérifiez l’état de la tâche et le rapport complet avant d’interpréter l’absence de commentaires comme une revue terminée sans constat.

Documentation associée