ChatGPT 문서
한국어
문의 goolvyouyou@gmail.com

Security Review

GitHub 풀 리퀘스트를 위한 심층 보안 검토를 구성하고 실행합니다.

Codex Security Review는 ChatGPT Enterprise, Business, Edu 및 Pro 고객이 사용할 수 있습니다. Plus에서는 사용할 수 없습니다. 보안 검토는 포함된 Codex 사용량 또는 ChatGPT 크레딧을 소모합니다.

Security Review를 사용하여 GitHub 풀 리퀘스트의 diff와 관련 코드에 보안 문제가 있는지 검사하세요. 위협 모델 맥락이나 보안 지침이 설정되어 있으면 이를 사용하고, 보고 기준을 충족하는 발견 사항을 게시합니다.

Code Review도 일반 검토 과정에서 보안 문제를 보고할 수 있으므로 두 검토가 동일한 발견 사항을 보고할 수 있습니다.

시작하기 전에

자동 Codex Security Review를 구성하려면 다음이 필요합니다:

  • 워크스페이스의 Codex Security Review 이용 권한
  • GitHub 저장소를 연결하여 설정한 Codex 클라우드
  • 저장소 설정에 대한 GitHub 푸시 또는 관리자 권한

기존 Codex Security 스캔은 선택 사항입니다.

Codex Security Review 구성

저장소 설정은 공유됩니다. 설정을 변경하면 자신의 풀 리퀘스트뿐 아니라 저장소의 검토 정책에 따라 선택된 풀 리퀘스트에도 영향을 줍니다. 개인 설정은 저장소가 개인 설정을 따르는 경우 자신의 풀 리퀘스트에 적용됩니다.

  1. Codex 설정으로 이동하여 저장소를 선택합니다.
  2. 보안 취약점 검토 에서 자동 보안 검토 를 켭니다.
  3. 검토 에서 Codex Security Review를 적용할 풀 리퀘스트를 선택합니다.
    • 개인 설정 따르기 를 선택하면 각 기여자가 개인 Codex Security Review 설정에서 사용 여부를 선택할 수 있습니다.
    • 모든 PR 은 저장소의 모든 풀 리퀘스트에 적용됩니다.
    • 팀 PR 은 해당 옵션을 사용할 수 있는 경우 GitHub 팀 구성원이 아닌 ChatGPT 워크스페이스 구성원이 생성한 풀 리퀘스트에 적용됩니다.
  4. 트리거 에서 Codex Security Review 실행 시점을 선택합니다.
    • PR 생성 시 는 풀 리퀘스트가 생성될 때 독립적으로 실행됩니다.
    • 푸시할 때마다 는 새 커밋이 푸시된 후 독립적으로 실행됩니다.
    • 코드 검토가 실행될 때마다 는 Code Review가 필요하며 Codex Security Review를 함께 실행합니다.

다른 기여자가 GitHub를 연결하거나 개인 검토를 활성화해도 자신의 풀 리퀘스트에 대한 추가 검토가 요청되지는 않습니다. 저장소 설정과 개인 설정은 자동 검토 실행 여부를 결정하며, 연결된 사용자마다 검토를 하나씩 생성하지는 않습니다. 이후 푸시는 트리거 설정에 따라 다른 검토를 실행할 수 있으며, 추가 검토를 수동으로 요청할 수도 있습니다.

위협 모델 컨텍스트 추가하기

애플리케이션의 자산, 신뢰 경계, 보안 가정 및 저장소별 위험에 관한 컨텍스트를 Codex에 제공하도록 위협 모델을 구성할 수 있습니다. 저장소에 기존 Codex Security 스캔 구성이 있으면 해당 위협 모델을 사용할 수 있습니다. 그렇지 않으면 저장소에 체크인된 위협 모델 파일의 경로를 제공하세요. 소스를 지정하지 않으면 Codex가 검토할 때마다 위협 모델을 다시 생성합니다.

보고 임곗값 설정하기

기본적으로 자동 Codex Security Review는 높음 및 치명적 결과를 보고하고, 수동으로 요청한 검토는 보통, 높음 및 치명적 결과를 보고합니다. 자동 검토와 수동 검토의 최소 심각도를 각각 변경하고 경로 기반 재정의를 추가할 수 있습니다.

풀 리퀘스트에 게시된 발견 사항은 해당 풀 리퀘스트의 GitHub 공개 범위를 따릅니다. 풀 리퀘스트을 볼 수 있는 사람은 누구나 발견 사항도 볼 수 있으며, 이는 공개 저장소나 워크스페이스 외부 기여자의 풀 리퀘스트에도 적용됩니다. 보고 기준은 Codex가 GitHub에 게시할 내용을 제어합니다. 전체 Codex Security Review 보고서는 Codex에 보관됩니다.

Codex Security Review 요청

Codex Security Review를 수동으로 요청하려면 pull request에 다음 댓글을 추가합니다:

@codex security review

Codex는 검토가 진행되는 동안 반응을 표시한 다음, 수동 보고 기준을 충족하는 발견 사항을 풀 리퀘스트에 직접 게시합니다. 연결된 Codex 작업을 열고 보안 보고서 탭을 선택하면 심각도, 공격 경로, 근거 자료, 검증 결과, 해결 지침을 포함한 전체 보고서를 볼 수 있습니다. 보고 기준을 충족하는 문제가 없으면 Codex는 풀 리퀘스트에 발견 사항을 게시하지 않습니다. 댓글이 없다는 이유로 발견 사항 없이 검토가 완료되었다고 판단하기 전에 작업 상태와 전체 보고서를 확인하세요.

관련 문서