Краткое руководство по плагину Codex Security
Краткое руководство по плагину Codex Security
Установите плагин Codex Security, запустите первое сканирование в режиме только для чтения и просмотрите результат в Codex.
- Настольное приложение ChatGPT Проекты, файлы и длительные задачи на компьютере.
- Codex CLI Codex в вашем терминале.
Установите плагин Codex Security, запустите стандартное сканирование локального репозитория и изучите выявленные проблемы. Сканирование не изменяет исходный код и сохраняет отчёт с доказательствами и рекомендациями по устранению проблем.
Установка плагина
Откройте Codex в настольном приложении ChatGPT.
Откройте Плагины, найдите Codex Security или нажмите кнопку ниже:
Убедитесь, что плагин включён, затем откройте Безопасность на боковой панели.
- В терминале перейдите в репозиторий, который хотите проверить, и запустите Codex:
codex- Введите
/plugins, найдите Codex Security и выберите Установить плагин. - Введите
/new, чтобы начать новый чат для репозитория.
Первое сканирование
Для наилучшего качества сканирования используйте gpt-5.6-sol
с уровнем усилий рассуждения xhigh.
Откройте настройку сканирования
Выберите Безопасность на боковой панели, откройте раздел Сканирования и выберите + Сканирование.
Выберите кодовую базу и область сканирования
Выберите существующий репозиторий или другую папку. Выберите Кодовая база, оставьте Глубокое сканирование выключенным и выберите весь репозиторий или одну папку. Убедитесь, что ветка и ревизия соответствуют коду, который вы намеревались проверить.
Добавьте контекст безопасности
Выберите модель и уровень рассуждений. Открывайте Дополнительный контекст, только когда нужно описать вектор атаки, важную для безопасности область или особенности репозитория, которые следует учитывать при проверке.
Включите дополнительный контекст, чтобы описать векторы атак, приоритетные области и соответствующие рекомендации по безопасности. Запустите сканирование
Нажмите Начать сканирование и следите за его этапами на рабочей панели безопасности. Выберите Просмотреть активность, чтобы изучить задачу Codex, выполняющую сканирование.
Просмотрите результат
Откройте завершённое сканирование, чтобы изучить находки, охват и доступные файлы отчёта. Используйте раздел Находки для просмотра проблем из разных сканирований или Репозитории, чтобы изучить историю сканирований репозитория.
Изучите результаты сканирования, находки и охват на рабочей панели безопасности.
Запросите стандартное сканирование
Отправьте в новом чате следующий запрос:
Run a Codex Security scan on this repository.Дождитесь завершения сканирования
Codex выполняет сканирование в терминале, не открывая рабочую область настройки. Оставьте задачу работающей, пока Codex не сообщит о её завершении. Если Codex обнаружит ограничение конфигурации, изучите его и конкретное предложенное изменение, прежде чем одобрять обновление конфигурации.
Просмотрите результат
Изучите сводку в терминале, затем откройте созданный файл
report.md, чтобы ознакомиться с полным результатом.
Как интерпретировать результат
Сначала проверьте цель сканирования и ревизию. Затем изучите, какие области были проверены, а какие отложены. Даже завершённое сканирование может иметь пробелы в охвате. Проверка, не выявившая проблем, не обязательно исключает все уязвимости.
Откройте находку и изучите доказательства из исходного кода, необходимые условия для атакующего, результаты проверки и оставшуюся неопределённость. Проверка может опираться на анализ исходного кода без запуска сценария воспроизведения. Используйте зафиксированный метод и доказательства, чтобы определить, затрагивает ли проблема вашу систему.
Что создаётся при сканировании
В настольном приложении завершённые сканирования остаются в разделе Сканирования. В Codex CLI используйте
каталог сканирования, указанный в беседе. Откройте report.md для просмотра результата
в удобном для чтения виде. Подробные отчёты об уязвимостях в findings/ и предложения по проектированию
в hardening/ — дополнительные материалы, которые можно запросить.
Каталог также содержит scan-manifest.json, findings.json и
coverage.json для инструментов и автоматизации. При передаче или
архивировании результатов сохраняйте содержимое каталога вместе, чтобы ссылки в отчёте продолжали работать.
Выбор следующего рабочего процесса
- Настройте область сканирования и контекст безопасности для следующего сканирования или проверьте изменение кода.
- Исправьте и проверьте находку, когда сочтёте её доказательства убедительными, или создайте задачу для её отслеживания.
Другие режимы сканирования и рабочие процессы описаны в обзоре Codex Security .