Частые вопросы о Codex Security Cloud

Эти ответы относятся к Codex Security Cloud. Для установки и первого сканирования используйте руководство по настройке облака. Для локальных сканирований есть отдельные руководства по плагину и CLI.

Оплата

Как оплачиваются облачные сканирования?

Сканирования репозиториев и непрерывные сканирования, настроенные после 1 октября 2026 года, 12:53 по тихоокеанскому времени, оплачиваются по количеству использованных токенов по ставкам вашего тарифа — в кредитах или долларах США в зависимости от плана оплаты. Для учётных записей, соответствующих условиям, сначала расходуются бесплатные кредиты на сканирование, а затем начисляется плата за использование.

Это использование не покрывается лимитом, включённым в ваш тариф.

Непрерывные сканирования, настроенные до этого срока, бесплатны до 21 октября 2026 года. После этого они оплачиваются по обычным тарифам за токены в соответствии с тарифным планом вашей учётной записи, если вы включите платное использование. В противном случае они приостанавливаются.

Предоставляется ли мне бесплатный период сканирования или бесплатные кредиты на сканирование?

Это зависит от того, было ли в вашей учётной записи настроено непрерывное сканирование до 1 октября 2026 года, 12:53 по тихоокеанскому времени:

• Если непрерывное сканирование было настроено, охваченные им проверки остаются бесплатными до 21 октября 2026 года. Этот бесплатный период не распространяется на сканирование репозиториев и непрерывное сканирование, настроенное после 1 октября 2026 года, 12:53 по тихоокеанскому времени.
• Если оно не было настроено, соответствующие требованиям учётные записи получают бесплатные кредиты на сканирование на сумму $500 вместо бесплатного периода непрерывного сканирования.

Как работают бесплатные кредиты на сканирование?

Сканирования репозиториев и непрерывное сканирование расходуют один и тот же бесплатный баланс. В рабочем пространстве этот баланс общий для всех участников. Эти бесплатные кредиты на сканирование не имеют срока действия.

Когда бесплатный баланс будет исчерпан, дальнейшее сканирование будет оплачиваться в соответствии с планом оплаты вашей учётной записи или рабочего пространства.

Что произойдёт после окончания бесплатного периода непрерывного сканирования?

Выберите Продолжить сканирования и включите платное использование, чтобы эти сканирования продолжались после окончания бесплатного периода. Тогда они будут оплачиваться по стандартным ставкам за токены в соответствии с планом оплаты вашей учётной записи или рабочего пространства.

Если вы откажетесь или не включите платное использование, эти сканирования будут приостановлены по окончании бесплатного периода. Выберите Возобновить сканирования, чтобы включить платное использование позднее. Если у вас нет необходимых прав в рабочем пространстве, попросите его владельца принять это решение.

Где можно посмотреть расход токенов и начисления?

Откройте сканирование в разделе Сканирования, чтобы посмотреть расход токенов и стоимость. Наведите указатель на количество токенов, чтобы увидеть входные, кэшированные входные и выходные токены. Кэшированные входные токены включены в количество входных токенов, а не прибавляются к нему.

В разделе использования показана стоимость до применения бесплатных кредитов на сканирование или освобождения от оплаты, а также сумма, покрытая бесплатными кредитами на сканирование.

За сканирования с пометкой «Освобождено от оплаты. Плата не взимается.» плата не начисляется, даже если для них отображаются расход токенов и стоимость.

Сканирование

Нужно ли собирать проект для сканирования?

Codex Security может анализировать исходный код без успешной сборки. Для проверки и воспроизведения проблемы могут потребоваться зависимости или рабочая сборка. Настройте эти требования в облачной среде Codex.

Если проверку выполнить невозможно, выясните, какие выводы об обнаруженной проблеме подтверждаются исходным кодом, а какие по-прежнему зависят от поведения при выполнении или развёртывании.

Какие языки поддерживаются?

Codex Security анализирует исходный код на разных языках. Результаты зависят от способности модели рассуждать о языке и фреймворке, а также от доступного контекста репозитория. Успешное сканирование не означает одинакового охвата всех языков или компонентов. Фактический охват проверки указан в отчёте.

Чем сканирование репозитория отличается от мониторинга коммитов?

Однократное сканирование проверяет репозиторий один раз. Непрерывное сканирование отслеживает новые коммиты и может проверять выбранную историю коммитов. Включите его после первого сканирования, следуя руководству Отслеживание новых коммитов.

Можно ли приостановить мониторинг коммитов?

Откройте Репозитории, выберите репозиторий и откройте Настройки мониторинга. Установите для мониторинга значение Приостановлен и выберите Сохранить. Включить его снова можно в тех же настройках.

Можно ли редактировать модель угроз?

Да. Обновляйте её в Настройках мониторинга отслеживаемого репозитория при изменении архитектуры, развёртывания или предположений о безопасности. В руководстве по модели угроз объясняется, что следует включить. Изменения применяются к будущим сканированиям.

Обнаруженные проблемы и их проверка

Что позволяет установить проверка?

Изучите доказательства, приложенные к конкретной находке. Анализ исходного кода может выявить уязвимый путь выполнения. Данные о выполнении могут показать, что конкретный сценарий воспроизведения или тест продемонстрировал проблему.

Зафиксированные статус и серьёзность находки помогают организовать её рассмотрение. Используйте лежащие в её основе доказательства и необходимые условия, чтобы определить, затрагивает ли она вашу систему и что нужно исправить.

Что происходит, если проверка завершается неуспешно?

Изучите попытку проверки и все доступные журналы. Неудачная попытка воспроизведения может означать, что проблема не затрагивает систему, но также может указывать на неподходящую среду или тест. Устраните указанный пробел, прежде чем отклонять находку или утверждать, что проблема воспроизведена.

Что делать, если сканирование не выявило проблем?

Убедитесь, что сканирование завершено и проверены нужный репозиторий и ревизия. Изучите все зафиксированные ограничения и незавершённые работы. Сканирование, не выявившее проблем, всё же может пропустить уязвимости.

Исправления

Применяет ли Codex Security патчи автоматически?

Действие зависит от находки. Кнопка Исправить с помощью Codex в находке репозитория запускает беседу с запросом к Codex проверить проблему, реализовать исправление и выполнить соответствующие тесты. Изучите изменения в этой беседе.

Если для находки предложен патч, изучите diff, прежде чем выбирать Создать черновик pull request. Создание черновика не приводит к слиянию исправления.

Как узнать, устранил ли патч проблему?

Изучите доказательства проверки патча, в том числе воспроизводится ли исходная проблема и сохраняется ли корректная работа системы. Если проверка не завершена, сохраните сведения об этой неопределённости в находке. Сам по себе предложенный патч, черновик pull request или изменение статуса не подтверждают исправление.