Documentação do ChatGPT
Português
Contacto goolvyouyou@gmail.com

Security Review

Configure e execute revisões de segurança aprofundadas para pull requests do GitHub.

O Codex Security Review está disponível para clientes ChatGPT Enterprise, Business, Edu e Pro. Não está disponível no Plus. As revisões de segurança consomem a quota incluída do Codex ou créditos ChatGPT.

Utilize o Security Review para verificar se um pedido de integração do GitHub contém problemas de segurança nas suas diferenças e no código de apoio. Utiliza contexto do modelo de ameaças ou orientações de segurança quando configurados e publica constatações que atinjam o seu limiar de comunicação.

O Code Review também pode comunicar problemas de segurança durante a revisão geral, pelo que as duas revisões podem comunicar a mesma constatação.

Antes de começar

Para configurar o Codex Security Review automático, necessita de:

  • Acesso ao Codex Security Review para o seu espaço de trabalho
  • Codex na nuvem configurado com um repositório GitHub ligado
  • Permissão de push ou de administração no GitHub para as definições do repositório

Uma análise existente do Codex Security é opcional.

Configurar o Codex Security Review

As definições do repositório são partilhadas. Alterá-las afeta os pedidos de integração selecionados pela política Revisão do repositório, incluindo os de outros utilizadores. As preferências pessoais aplicam-se aos seus pedidos de integração quando o repositório segue as preferências pessoais.

  1. Aceda às definições do Codex e escolha um repositório.
  2. Em Rever vulnerabilidades de segurança, ative Revisão de segurança automática.
  3. Utilize Revisão para escolher os pull requests que recebem uma revisão do Codex Security Review:
    • Seguir preferências pessoais permite que cada colaborador adira através das suas definições pessoais do Codex Security Review.
    • Todos os PRs aplica-se a todos os pull requests do repositório.
    • PRs da equipa, quando disponível, aplica-se a pull requests abertos por membros do seu espaço de trabalho do ChatGPT, não por membros de uma equipa do GitHub.
  4. Utilize Acionador para escolher quando o Codex Security Review é executado:
    • Ao abrir um PR executa a revisão de forma independente quando um pull request é aberto.
    • Em cada push executa a revisão de forma independente após o envio de novos commits.
    • Sempre que a revisão de código é executada requer o Code Review e executa o Codex Security Review em conjunto com este.

Ligar o GitHub ou ativar revisões pessoais para outro colaborador não solicita uma revisão adicional dos seus pedidos de integração. As definições do repositório e as definições pessoais determinam se é executada uma revisão automática; não criam uma revisão por utilizador ligado. Envios posteriores podem desencadear outra revisão de acordo com Acionador, e pode solicitar revisões adicionais manualmente.

Adicionar contexto do modelo de ameaças

Pode configurar um modelo de ameaças para fornecer ao Codex contexto sobre os ativos da sua aplicação, os limites de confiança, os pressupostos de segurança e os riscos específicos do repositório. Se o repositório tiver uma configuração de análise do Codex Security, pode utilizar o respetivo modelo de ameaças. Caso contrário, indique o caminho para um ficheiro de modelo de ameaças submetido no repositório. Se não especificar uma origem, o Codex volta a gerar o modelo de ameaças para cada revisão.

Definir limiares de comunicação

Por predefinição, as revisões automáticas do Codex Security Review comunicam conclusões de gravidade Alta e Crítica, enquanto as revisões solicitadas manualmente comunicam conclusões de gravidade Média, Alta e Crítica. Pode alterar a gravidade mínima de forma independente para revisões automáticas e manuais, bem como adicionar substituições baseadas no caminho.

As constatações publicadas num pedido de integração herdam a visibilidade desse pedido no GitHub. Qualquer pessoa que possa ver o pedido de integração pode ver essas constatações, incluindo em repositórios públicos ou pedidos de integração de colaboradores externos ao seu espaço de trabalho. O limiar de comunicação controla o que o Codex publica no GitHub. O relatório completo do Codex Security Review permanece no Codex.

Solicitar um Codex Security Review

Para solicitar manualmente um Codex Security Review, adicione este comentário a uma pull request:

@codex security review

O Codex reage enquanto a revisão está em curso e, em seguida, publica as conclusões que cumprem o seu limiar de comunicação manual diretamente no pull request. Abra a tarefa Codex associada e selecione o separador Relatório de segurança para ver o relatório completo, incluindo a gravidade, o percurso de ataque, as provas de suporte, a validação e as orientações de correção. Se nenhum problema atingir o limiar de comunicação, o Codex não publica conclusões no pull request. Verifique o estado da tarefa e o relatório completo antes de interpretar a ausência de comentários como uma revisão concluída sem conclusões.

Documentação relacionada