Visão geral de CI/CD do Codex Security

Execute o Codex Security em CI para rever alterações de pull requests ou merge requests, analisar o seu ramo predefinido e guardar as deteções e a cobertura. Consulte o guia do seu fornecedor de CI para conhecer o fluxo de trabalho, o tratamento dos relatórios e as opções de aplicação de políticas.

Preparar o fluxo de trabalho

A execução de análises requer acesso ao Codex Security. Guarde uma API key da OpenAI no repositório de segredos do seu fornecedor de CI como CODEX_SECURITY_API_KEY e associe-a à variável de ambiente OPENAI_API_KEY do processo de análise.

Execute análises apenas em repositórios e alterações em que confia. As análises utilizam as permissões locais do runner e não param para pedir aprovação. Mantenha as credenciais não relacionadas e os passos de colocação em produção em tarefas separadas.

Utilizar um modelo Daybreak aprovado

Para aceder ao Daybreak Blue através do Trusted Access for Cyber, defina o parâmetro de entrada da GitHub Action model como gpt-6-sol e cyber-access-program como daybreak_blue. Para análises diretas pela CLI, utilize --model gpt-6-sol e --cyber-access-program daybreak_blue.

Utilize uma API key de um projeto que tenha o Daybreak Blue ativado e acesso ao modelo selecionado. Definir o modelo ou o programa não concede acesso. Consulte Configurar o acesso opcional ao Daybreak para conhecer as definições da Action.

Escolher uma integração

Adicionar o fluxo de trabalho do GitHub Actions

Utilize o guia do GitHub Actions para verificações de pull requests e análises agendadas do repositório. A Codex Security Action instala a CLI, guarda relatórios e adiciona um resumo da tarefa e anotações no código-fonte. O guia inclui a configuração do runner, o acesso opcional ao Daybreak, o carregamento de SARIF e a aplicação de políticas de gravidade.

Adicionar o pipeline do GitLab CI/CD

Utilize o guia do GitLab CI/CD para análises de merge requests, do ramo predefinido e agendadas. Comece com um pipeline apenas de análise e, em seguida, adote o tratamento de relatórios, a aplicação de políticas e a correção verificada opcional.

Utilizar outro sistema de CI

Instale o pacote público @openai/codex-security e execute a CLI diretamente. Utilize --auth api-key, escolha uma análise do repositório ou das diferenças e guarde a saída num diretório privado fora da árvore de trabalho do Git. O seu runner tem de disponibilizar as dependências descritas no guia de início rápido da CLI.

Consulte a referência da CLI para conhecer as opções de análise, as revisões usadas nas diferenças, os formatos de relatório, os diretórios de estado e de saída e o comportamento das novas tentativas.

Escolher uma política de gravidade

Comece com deteções de caráter informativo. Reveja deteções representativas, a cobertura das análises, o custo e o tempo de execução antes de decidir que resultados devem bloquear uma integração.

Avalie as deteções e se a análise está completa. A política de gravidade avalia as deteções da análise atual com gravidade igual ou superior ao limiar configurado. As deteções anteriores em aberto no resumo do repositório não afetam essa política. Uma análise incompleta pode deixar áreas sem revisão, mesmo quando não comunica quaisquer deteções.

Na versão action-v0.3.0 da Action, uma análise concluída significa que a análise configurada produziu um resultado válido. As exclusões de âmbito, as investigações adiadas e outras notas de cobertura não contornam a política de gravidade. Os erros do analisador e da geração obrigatória de relatórios fazem a tarefa falhar. A CLI 0.3.0 devolve o código de saída 2 para falhas de entrada, execução, integridade dos resultados ou saída obrigatória. Reveja coverage.json ao avaliar o resultado; a conclusão não certifica que todas as vulnerabilidades foram encontradas.

Configure a aplicação de políticas no guia do GitHub Actions ou no guia do GitLab CI/CD. Para integrações diretas com a CLI, consulte aplicação de políticas de gravidade e códigos de saída.