Dokumentasi ChatGPT
Bahasa Indonesia
Hubungi kami goolvyouyou@gmail.com

Security Review

Konfigurasikan dan jalankan peninjauan keamanan mendalam untuk pull request GitHub.

Codex Security Review tersedia bagi pelanggan ChatGPT Enterprise, Business, Edu, dan Pro. Fitur ini tidak tersedia di Plus. Tinjauan keamanan menggunakan kuota Codex yang disertakan atau kredit ChatGPT.

Gunakan Security Review untuk memeriksa masalah keamanan pada diff dan kode pendukung dalam pull request GitHub. Fitur ini menggunakan konteks model ancaman atau panduan keamanan jika dikonfigurasi dan memposting temuan yang memenuhi ambang pelaporan Anda.

Code Review juga dapat melaporkan masalah keamanan selama tinjauan umumnya, sehingga kedua tinjauan dapat melaporkan temuan yang sama.

Sebelum memulai

Untuk mengonfigurasi Codex Security Review otomatis, Anda memerlukan:

  • Akses Codex Security Review untuk ruang kerja Anda
  • Codex cloud yang sudah disiapkan dengan repositori GitHub yang terhubung
  • Izin push atau admin GitHub untuk pengaturan repositori

Pemindaian Codex Security yang sudah ada bersifat opsional.

Mengonfigurasi Codex Security Review

Pengaturan repositori berlaku bersama. Perubahannya memengaruhi pull request yang dipilih oleh kebijakan Tinjauan repositori, bukan hanya pull request Anda sendiri. Preferensi pribadi berlaku untuk pull request Anda ketika repositori mengikuti preferensi pribadi.

  1. Buka pengaturan Codex dan pilih repositori.
  2. Di bagian Tinjau kerentanan keamanan, aktifkan Tinjauan keamanan otomatis.
  3. Gunakan Tinjau untuk memilih pull request yang mendapatkan Codex Security Review:
    • Ikuti preferensi pribadi memungkinkan setiap kontributor mengaktifkannya melalui pengaturan Codex Security Review pribadi mereka.
    • Semua PR berlaku untuk setiap pull request dalam repositori.
    • PR tim, jika tersedia, berlaku untuk pull request yang dibuka oleh anggota ruang kerja ChatGPT Anda, bukan anggota tim GitHub.
  4. Gunakan Pemicu untuk memilih kapan Codex Security Review dijalankan:
    • Saat PR dibuka menjalankannya secara independen saat pull request dibuka.
    • Pada setiap push menjalankannya secara independen setelah commit baru di-push.
    • Setiap kali tinjauan kode dijalankan memerlukan Code Review dan menjalankan Codex Security Review bersamaan dengannya.

Menghubungkan GitHub atau mengaktifkan tinjauan pribadi untuk kontributor lain tidak meminta tinjauan tambahan atas pull request Anda. Pengaturan repositori dan pribadi menentukan apakah tinjauan otomatis dijalankan; pengaturan tersebut tidak membuat satu tinjauan untuk setiap pengguna yang terhubung. Push berikutnya dapat memicu tinjauan lain sesuai Pemicu, dan Anda dapat meminta tinjauan tambahan secara manual.

Tambahkan konteks model ancaman

Anda dapat mengonfigurasi model ancaman untuk memberikan konteks kepada Codex tentang aset aplikasi, batas kepercayaan, asumsi keamanan, dan risiko khusus repositori Anda. Jika repositori memiliki konfigurasi pemindaian Codex Security yang sudah ada, Anda dapat menggunakan model ancamannya. Jika tidak, berikan path ke file model ancaman yang di-commit ke repositori. Jika Anda tidak menentukan sumber, Codex membuat ulang model ancaman untuk setiap tinjauan.

Tetapkan ambang batas pelaporan

Secara default, Codex Security Review otomatis melaporkan temuan dengan tingkat Tinggi dan Kritis, sementara tinjauan yang diminta secara manual melaporkan temuan Sedang, Tinggi, dan Kritis. Anda dapat mengubah tingkat keparahan minimum secara terpisah untuk tinjauan otomatis dan manual, serta menambahkan penggantian berdasarkan path.

Temuan yang diposting ke pull request mengikuti visibilitas GitHub pull request tersebut. Siapa pun yang dapat melihat pull request dapat melihat temuan tersebut, termasuk pada repositori publik atau pull request dari kontributor di luar ruang kerja Anda. Ambang pelaporan mengontrol apa yang diposting Codex ke GitHub. Laporan lengkap Codex Security Review tetap berada di Codex.

Meminta Codex Security Review

Untuk meminta Codex Security Review secara manual, tambahkan komentar ini ke pull request:

@codex security review

Codex memberikan reaksi saat peninjauan berlangsung, lalu memposting temuan yang memenuhi ambang pelaporan manual Anda langsung pada pull request. Buka tugas Codex terkait dan pilih tab Laporan Keamanan untuk melihat laporan lengkap, termasuk tingkat keparahan, jalur serangan, bukti pendukung, validasi, dan panduan perbaikan. Jika tidak ada masalah yang memenuhi ambang pelaporan, Codex tidak memposting temuan pada pull request. Periksa status tugas dan laporan lengkap sebelum menafsirkan hasil komentar yang kosong sebagai peninjauan yang telah selesai tanpa temuan.

Dokumentasi terkait