Codex Security CI/CD 개요

CI에서 Codex Security를 실행하여 풀 리퀘스트 또는 병합 요청의 변경 사항을 검토하고, 기본 브랜치를 스캔하며, 탐지 결과와 스캔 범위를 보존합니다. 워크플로, 보고서 처리, 정책 적용 옵션은 사용 중인 CI 제공업체의 가이드를 참조하세요.

워크플로 준비하기

스캔을 실행하려면 Codex Security 액세스 권한이 필요합니다. OpenAI API key를 CI 제공업체의 비밀 저장소에 CODEX_SECURITY_API_KEY로 저장한 다음, 스캔 프로세스의 OPENAI_API_KEY 환경 변수에 매핑합니다.

신뢰하는 저장소와 변경 사항만 스캔하세요. 스캔은 러너의 로컬 권한을 사용하며 승인을 기다리지 않습니다. 관련 없는 자격 증명과 배포 단계는 별도의 작업에 두세요.

승인된 Daybreak 모델 사용

Trusted Access for Cyber를 통해 Daybreak Blue에 액세스하려면 GitHub Action의 model 입력을 gpt-6-sol로, cyber-access-program 입력을 daybreak_blue로 설정합니다. CLI에서 직접 스캔하려면 --model gpt-6-sol과 --cyber-access-program daybreak_blue를 사용합니다.

Daybreak Blue가 활성화되어 있고 선택한 모델에 액세스할 수 있는 프로젝트의 API key를 사용하세요. 모델이나 프로그램을 설정해도 액세스 권한이 부여되지는 않습니다. Action 설정은 선택적 Daybreak 액세스 구성을 참조하세요.

통합 선택

GitHub Actions 워크플로 추가

풀 리퀘스트 검사와 예약된 저장소 스캔에는 GitHub Actions 가이드를 참조하세요. Codex Security Action은 CLI를 설치하고, 보고서를 저장하며, 작업 요약과 소스 주석을 추가합니다. 가이드에서는 러너 설정, 선택적 Daybreak 액세스, SARIF 업로드, 심각도 정책 적용을 설명합니다.

GitLab CI/CD 파이프라인 추가

병합 요청, 기본 브랜치, 예약 스캔에는 GitLab CI/CD 가이드를 참조하세요. 스캔만 수행하는 파이프라인으로 시작한 다음, 보고서 처리, 정책 적용, 선택 사항인 검증된 수정 기능을 도입하세요.

다른 CI 시스템 사용

공개 @openai/codex-security 패키지를 설치하고 CLI를 직접 실행합니다. --auth api-key를 사용하고, 저장소 스캔 또는 diff 스캔을 선택한 다음, 출력을 Git 작업 트리 외부의 비공개 디렉터리에 저장합니다. 러너는 CLI 빠른 시작에 설명된 의존성을 제공해야 합니다.

스캔 옵션, diff 리비전, 보고서 형식, 상태 및 출력 디렉터리, 재시도 동작은 CLI 레퍼런스를 참조하세요.

심각도 정책 선택하기

먼저 결과를 참고용으로 활용하세요. 어떤 결과가 병합을 차단해야 하는지 결정하기 전에 대표적인 탐지 결과, 스캔 범위, 비용, 실행 시간을 검토하세요.

탐지 결과와 스캔의 완전성을 모두 평가하세요. 심각도 정책은 현재 스캔의 탐지 결과 중 설정된 임계값 이상의 결과를 평가합니다. 저장소 요약에 있는 이전의 미해결 탐지 결과는 해당 정책에 영향을 주지 않습니다. 불완전한 스캔은 탐지 결과가 없다고 보고하더라도 검토되지 않은 영역을 남길 수 있습니다.

Action 릴리스 action-v0.3.0에서 스캔 완료는 구성된 분석이 유효한 결과를 생성했음을 의미합니다. 범위 제외, 보류된 조사, 기타 스캔 범위 관련 참고 사항이 있어도 심각도 정책을 우회하지 않습니다. 스캐너 오류와 필수 보고 오류가 발생하면 작업이 실패합니다. CLI 0.3.0은 입력, 실행, 결과 무결성 또는 필수 출력에 문제가 있으면 종료 코드 2를 반환합니다. 결과를 평가할 때 coverage.json을 검토하세요. 스캔 완료가 모든 취약점을 발견했음을 보증하지는 않습니다.

정책 적용은 GitHub Actions 가이드 또는 GitLab CI/CD 가이드에서 구성하세요. CLI를 직접 통합하는 경우 심각도 정책 적용 및 종료 코드를 참조하세요.