ChatGPT ドキュメント
日本語
お問い合わせ goolvyouyou@gmail.com

Security Review

GitHub pull request の詳細なセキュリティレビューを設定して実行します。

Codex Security Review はリサーチプレビューとして提供されています。 ChatGPT Enterprise、Business、Edu、Pro のお客様が利用できますが、 Plus では利用できません。導入期間中、Codex Security Review は ChatGPT クレジットを消費しません。利用上限が適用される場合があります。

Codex Security Review は、プルリクエストのセキュリティ上の問題に 特に注意を払いたいお客様向けの追加レビューです。

Codex Security Review は、プルリクエストの差分、関連するリポジトリのコンテキスト、設定済みの脅威モデル またはセキュリティガイダンスを分析することで、セキュリティ固有のリスクを Code Review よりも詳しく調査します。Code Review でも一般的なレビューの一環として セキュリティ関連の問題が特定されることがあるため、検出結果が一部重複する場合があります。

始める前に

Codex Security Review の自動実行を設定するには、以下が必要です。

  • ワークスペースでの Codex Security Review リサーチプレビューへのアクセス権
  • GitHub リポジトリを接続して設定した Codex cloud
  • リポジトリ設定に対する GitHub の push 権限または管理者権限

既存の Codex Security スキャンは任意です。

Codex Security Review を設定する

  1. Codex settings に移動します。
  2. Repository preferences で、Codex Security Review の対象とするプルリクエストを選択します。
    • Follow personal では、各コントリビューターが個人の Codex Security Review 設定で参加を選択できます。
    • Review all PRs は、リポジトリ内のすべてのプルリクエストに適用されます。
    • Review team PRs は、利用可能な場合、GitHub チームのメンバーではなく、 ChatGPT ワークスペースのメンバーが作成したプルリクエストに適用されます。
  3. Codex Security Review を実行するタイミングを選択します。
    • On PR open は、プルリクエストが作成されたときに独立して実行されます。
    • Every push は、新しいコミットが push された後に独立して実行されます。
    • Whenever code review runs には Code Review が必要で、Codex Security Review がそれと並行して実行されます。

脅威モデルのコンテキストを追加する

脅威モデルを設定すると、アプリケーションの 資産、信頼境界、セキュリティ上の前提、リポジトリ固有のリスクに関するコンテキストを Codex に提供できます。 リポジトリに既存の Codex Security スキャン設定がある場合は、 その脅威モデルを使用できます。それ以外の場合は、リポジトリにチェックインされた 脅威モデルファイルへのパスを指定してください。ソースを指定しない場合、Codex はレビューのたびに 脅威モデルを再生成します。

報告のしきい値を設定する

デフォルトでは、自動 Codex Security Review は High および Critical の 検出結果を報告し、手動でリクエストしたレビューは Medium、High、 Critical の検出結果を報告します。自動レビューと手動レビューの最小重大度は 個別に変更でき、パスに基づくオーバーライドも追加できます。

プルリクエストに投稿された検出結果には、そのプルリクエストの GitHub 公開範囲が引き継がれます。プルリクエストを閲覧できる人は誰でも、 公開リポジトリやワークスペース外のコントリビューターによるプルリクエストを含め、それらの検出結果を閲覧できます。 プルリクエストのコメントが広く公開される可能性があるリポジトリでは、 報告しきい値を慎重に選択してください。報告しきい値は Codex が GitHub に投稿する内容を制御しますが、 Codex Security Review の完全なレポートは Codex に保持されます。

Codex Security Review をリクエストする

Codex Security Review を手動でリクエストするには、プルリクエストに次のコメントを追加します。

@codex security review

レビューの実行中は Codex がリアクションを付け、その後、手動レビューの 報告しきい値を満たす検出結果をプルリクエストに直接投稿します。関連する Codex タスクを開き、Security Report タブを選択すると、重大度、攻撃経路、 裏付けとなる証拠、検証、修復ガイダンスを含む完全なレポートを表示できます。 報告しきい値を満たす問題がない場合、Codex はプルリクエストに検出結果を 投稿しません。

関連ドキュメント