ChatGPT ドキュメント
日本語
お問い合わせ goolvyouyou@gmail.com

Security Review

GitHub pull request の詳細なセキュリティレビューを設定して実行します。

Codex Security Review は、ChatGPT Enterprise、Business、Edu、 Pro のお客様が利用できます。Plus では利用できません。セキュリティレビューは、プランに含まれる Codex の利用枠または ChatGPT クレジットを消費します。

Security Review を使用すると、GitHub プルリクエストの差分と関連コードにセキュリティ上の問題がないかを確認できます。設定されている場合は、脅威モデルのコンテキストやセキュリティガイダンスを使用し、報告のしきい値を満たす指摘事項を投稿します。

Code Review も通常のレビュー中にセキュリティ上の問題を報告できるため、両方のレビューが同じ指摘事項を報告する場合があります。

始める前に

Codex Security Review の自動実行を設定するには、以下が必要です。

  • ワークスペースでの Codex Security Review へのアクセス権
  • GitHub リポジトリを接続し、セットアップ済みの Codex cloud
  • リポジトリ設定に対する GitHub のプッシュ権限または管理者権限

既存の Codex Security スキャンは任意です。

Codex Security Review を設定する

リポジトリ設定は共有されます。変更すると、自分のプルリクエストだけでなく、リポジトリの Review ポリシーで選択されたプルリクエストに影響します。個人設定は、リポジトリが個人設定に従う場合に、自分のプルリクエストに適用されます。

  1. Codex の設定に移動し、リポジトリを選択します。
  2. セキュリティの脆弱性をレビュー で、自動セキュリティレビュー をオンにします。
  3. レビュー で、Codex Security Review の対象とするプルリクエストを選択します。
    • 個人設定に従う では、各コントリビューターが自身の Codex Security Review の設定で参加を選択できます。
    • すべての PR は、リポジトリ内のすべてのプルリクエストに適用されます。
    • チームの PR は、利用可能な場合、 GitHub チームではなく、ChatGPT ワークスペースのメンバーが作成したプルリクエストに適用されます。
  4. トリガー で、Codex Security Review を実行するタイミングを選択します。
    • PR 作成時 は、プルリクエストが作成されたときに独立して実行します。
    • プッシュのたび は、新しいコミットがプッシュされた後に独立して実行します。
    • コードレビュー実行時 には Code Review が必要で、Codex Security Review を Code Review と同時に実行します。

GitHub の接続や、別のコントリビューターの個人レビューの有効化によって、自分のプルリクエストに追加のレビューがリクエストされることはありません。自動レビューを実行するかどうかは、リポジトリ設定と個人設定で決まります。接続したユーザーごとにレビューが作成されるわけではありません。後のプッシュでは Trigger に従って別のレビューが実行される場合があり、追加のレビューを手動でリクエストすることもできます。

脅威モデルのコンテキストを追加する

脅威モデルを設定すると、アプリケーションの資産、信頼境界、セキュリティ上の前提、リポジトリ固有のリスクに関するコンテキストを Codex に提供できます。 リポジトリに既存の Codex Security スキャン設定がある場合は、 その脅威モデルを使用できます。それ以外の場合は、リポジトリにチェックインされた脅威モデルファイルへのパスを指定してください。ソースを指定しない場合、Codex はレビューのたびに脅威モデルを再生成します。

報告のしきい値を設定する

デフォルトでは、自動 Codex Security Review は High および Critical の検出結果を報告し、手動でリクエストしたレビューは Medium、High、 Critical の検出結果を報告します。自動レビューと手動レビューの最小重大度は個別に変更でき、パスに基づくオーバーライドも追加できます。

プルリクエストに投稿された指摘事項には、そのプルリクエストの GitHub の公開範囲が適用されます。プルリクエストを閲覧できるユーザーは誰でも、その指摘事項を閲覧できます。これは公開リポジトリや、ワークスペース外のコントリビューターからのプルリクエストにも当てはまります。報告のしきい値は、 Codex が GitHub に投稿する内容を制御します。Codex Security Review の完全なレポートは、 Codex に保持されます。

Codex Security Review をリクエストする

Codex Security Review を手動でリクエストするには、プルリクエストに次のコメントを追加します。

@codex security review

Codex はレビューの実行中にリアクションを付け、その後、手動レビューの報告しきい値を満たす指摘をプルリクエストに直接投稿します。関連する Codex タスクを開き、セキュリティレポート タブを選択すると、完全なレポートを確認できます。レポートには、重大度、攻撃経路、根拠となる証拠、検証結果、修正のガイダンスが含まれます。報告しきい値を満たす問題がない場合、Codex はプルリクエストに指摘を投稿しません。コメントがないことを、指摘なしでレビューが完了したと解釈する前に、タスクのステータスと完全なレポートを確認してください。

関連ドキュメント