Codex Security

Codex Security は、セキュリティチームとエンジニアリングチームによる脆弱性の検出、確認、修正を支援するアプリケーションセキュリティエージェントです。Codex、ターミナル、TypeScript SDK、または接続済みの GitHub リポジトリから使用できます。

Codex App にプラグインをインストール

最初に推奨されるローカルスキャンを実行するには、Codex Security plugin クイックスタートから始めてください。

デスクトップアプリで Codex Security を使用する

Codex Security plugin をインストールして有効にすると、デスクトップアプリのサイドバーから Security を開けます。Security ワークベンチでは、スキャン、検出結果、リポジトリを一元管理でき、Codex は各スキャンをタスクとして実行します。

• Scans では、スキャンの開始、進行状況の確認、保存済み結果の確認ができます。
• Findings では、完了した複数のスキャンにわたる問題とエビデンスを確認できます。
• Repositories では、リポジトリの履歴を確認し、検出結果を開けます。

デスクトップアプリでのワークフロー全体については、Security ワークベンチを使用するをご覧ください。

プラグインのユースケースを見る

• リポジトリまたは対象を限定したフォルダに対してセキュリティスキャンを実行する。
• より包括的なスキャンが必要で、完了まで長く待てる場合は、詳細なセキュリティスキャンを実行する。
• pull request やブランチをマージする前にコード変更をレビューする。
• 確認が必要な既存のセキュリティ検出結果がある場合は、バックログをトリアージする。
• 承認済みの検出結果に対して、範囲を限定したパッチで検出結果を修正して検証する。
• ポータブルな成果物または承認が必要な追跡先として検出結果をエクスポートまたは追跡する。
• 提供された検出結果、開示メモ、ソース、PoC から脆弱性レポートを作成する。
• スキャン結果やその他のセキュリティエビデンスからセキュリティ強化策を提案する。
• Codex Security plugin の新機能を確認する。

Codex Security CLI と SDK

CLI と TypeScript SDK は、公開されている @openai/codex-security パッケージとして提供されています。パッケージをインストールします。

npm install @openai/codex-security

スキャンの実行には Codex Security へのアクセス権が必要です。最良の結果を得るには、Trusted Access for Cyber の認証済みアカウントを使用してください。

プラグインと同じスキャナーを、複数のリポジトリや継続的なスキャンで使用できます。CLI は GitHub リポジトリを検出し、一括スキャンを再開し、複数のスキャンにわたって検出結果を追跡し、誤検知に関するフィードバックを記録します。アーキテクチャやセキュリティポリシーの追加、推定コスト上限の設定、CI やコミット前のチェックも可能です。TypeScript SDK を使用すると、スキャン、進行状況のレポート、コスト制御をアプリケーションや開発者ツールに組み込めます。

• CLI クイックスタートから始めると、CLI のセットアップ、リポジトリの事前確認、ローカルスキャンの実行方法を確認できます。
• セキュリティスキャンを一括実行すると、GitHub リポジトリを検出したり、CSV インベントリから再開可能なキャンペーンを実行したりできます。
• CI でスキャンを実行すると、pull request の変更確認、成果物の保持、SARIF のアップロード、重大度ポリシーの設定ができます。
• CLI FAQ を読むと、スキャン履歴、誤検知のフィードバック、カバレッジ、修正の検証に関する回答を確認できます。
• CLI リファレンスを使用すると、サポートされるコマンド、フラグ、出力形式、成果物、終了コードを確認できます。
• TypeScript SDK を統合すると、コードから対象の選択、結果の確認、進行状況の追跡、スキャンのキャンセルができます。

Codex Security cloud

Codex Security cloud は現在、リサーチプレビューとして提供されています。接続済みの GitHub リポジトリをスキャンし、セキュリティ上の問題と思われる箇所を検出します。

チームによる以下の作業を支援します。

1. リポジトリ固有の脅威モデルと実際のコードコンテキストを使用して、脆弱性の可能性を検出します。
2. 確認前に検出結果を検証して、ノイズを削減します。
3. 優先順位付けされた結果、エビデンス、推奨パッチオプションによって、検出結果を修正へと進めます。

Codex Security cloud の仕組み

Codex Security は、接続済みリポジトリをコミット単位でスキャンします。リポジトリからスキャンのコンテキストを構築し、そのコンテキストに照らして脆弱性の可能性を確認したうえで、シグナルの強い問題を隔離環境で検証してから提示します。

以下に重点を置いたワークフローを利用できます。

• 汎用的なシグネチャではなく、リポジトリ固有のコンテキスト
• 誤検知の削減に役立つ検証エビデンス
• GitHub でレビューできる推奨修正

Codex Security cloud のアクセス権と前提条件

Codex Security cloud は、Codex cloud を通じて接続済みの GitHub リポジトリを操作します。リポジトリが表示されない場合は、そのリポジトリが Codex cloud ワークスペースで利用可能か確認するか、OpenAI のアカウントチームにお問い合わせください。

関連ドキュメント

• Codex Security plugin クイックスタートでは、インストールと最初のローカルスキャンの手順を説明します。
• Security ワークベンチでは、デスクトップアプリの保存済みスキャン、検出結果、リポジトリ、スキャンアクティビティについて説明します。
• Codex Security CLI クイックスタートでは、セットアップ、事前確認、最初のターミナルスキャンの手順を説明します。
• セキュリティスキャンを一括実行するでは、GitHub の検出、CSV インベントリ、キャンペーン結果、再開時の動作について説明します。
• Codex Security CLI FAQでは、スキャン、検出結果、カバレッジ、コストに関する一般的な質問に回答します。
• Codex Security TypeScript SDKでは、アプリケーションや開発者ツールからスキャンを実行する方法を説明します。
• Codex Security cloud のセットアップでは、セットアップ、スキャン、検出結果のレビューについて詳しく説明します。
• 脅威モデルを改善するでは、スコープ、攻撃対象領域、重要度の前提を調整する方法を説明します。
• Codex Security cloud FAQでは、クラウド製品に関する一般的な質問を扱います。