ChatGPT ドキュメント
日本語
お問い合わせ goolvyouyou@gmail.com

Security Review

GitHub pull request の詳細なセキュリティレビューを設定して実行します。

Security Review は research preview として提供されています。ChatGPT Enterprise、Business、Edu、Pro のお客様が利用できますが、Plus では利用できません。導入期間中、Security Review は ChatGPT credits を消費しません。使用制限が適用される場合があります。

Security Review は、pull request のセキュリティ上の問題に特に注意を払いたいお客様向けの追加レビューです。

Security Review は、pull request の diff、補足となるリポジトリのコンテキスト、設定済みの脅威モデルまたはセキュリティガイダンスを分析することで、セキュリティ固有のリスクを Code Review より深く調査します。Code Review も一般的なレビューの一環としてセキュリティ関連の問題を特定できるため、検出結果が一部重複する場合があります。

始める前に

自動 Security Review を設定するには、以下が必要です。

  • workspace での Security Review research preview へのアクセス権
  • GitHub リポジトリを接続してセットアップした Codex cloud
  • リポジトリ設定に対する GitHub の push 権限または admin 権限

既存の Codex Security スキャンは任意です。

Security Review を設定する

  1. Codex settings に移動します。
  2. Repository preferences で、Security Review の対象にする pull request を選択します。
    • Follow personal では、各 contributor が個人の Security Review 設定で参加を選択できます。
    • Review all PRs は、リポジトリ内のすべての pull request に適用されます。
    • Review team PRs は、利用可能な場合、GitHub team のメンバーではなく、ChatGPT workspace のメンバーが作成した pull request に適用されます。
  3. Security Review を実行するタイミングを選択します。
    • On PR open は、pull request が作成されたときに独立して実行します。
    • Every push は、新しい commit が push された後に独立して実行します。
    • Whenever code review runs には Code Review が必要で、Code Review と並行して Security Review を実行します。

脅威モデルのコンテキストを追加する

脅威モデルを設定すると、アプリケーションの asset、trust boundary、セキュリティ上の前提、リポジトリ固有のリスクに関するコンテキストを Codex に提供できます。リポジトリに既存の Codex Security スキャン設定がある場合は、その脅威モデルを使用できます。それ以外の場合は、リポジトリに commit された脅威モデルファイルへのパスを指定してください。source を指定しない場合、Codex はレビューごとに脅威モデルを再生成します。

報告のしきい値を設定する

デフォルトでは、自動 Security Review は High と Critical の検出結果を報告し、手動で要求したレビューは Medium、High、Critical の検出結果を報告します。自動レビューと手動レビューの最小重大度は個別に変更でき、パスに基づく override も追加できます。

pull request に投稿された検出結果には、その pull request の GitHub visibility が継承されます。公開リポジトリや workspace 外の contributor からの pull request を含め、pull request を閲覧できるすべてのユーザーが検出結果を閲覧できます。pull request のコメントが広く公開される可能性があるリポジトリでは、報告のしきい値を慎重に選択してください。報告のしきい値は Codex が GitHub に投稿する内容を制御しますが、Security Review の完全なレポートは Codex に保持されます。

Security Review を要求する

Security Review を手動で要求するには、pull request に次のコメントを追加します。

@codex security review

レビューの実行中は Codex が reaction を付け、その後、手動レビューの報告しきい値を満たす検出結果を pull request に直接投稿します。関連する Codex タスクを開き、Security Report tab を選択すると、重大度、攻撃経路、裏付けとなる証拠、検証、修正ガイダンスを含む完全なレポートを確認できます。報告しきい値を満たす問題がない場合、Codex は pull request に検出結果を投稿しません。

関連ドキュメント