Документация ChatGPT
Русский
Связаться goolvyouyou@gmail.com

Security Review

Настройте и запускайте углублённые проверки безопасности запросов на включение GitHub.

Codex Security Review доступен клиентам ChatGPT Enterprise, Business, Edu и Pro. В Plus он недоступен. Проверки безопасности расходуют включённый лимит Codex или кредиты ChatGPT.

Используйте Security Review для проверки запроса на слияние GitHub на наличие проблем безопасности в его изменениях и связанном коде. Если настроены контекст модели угроз или рекомендации по безопасности, проверка использует их и публикует проблемы, соответствующие заданному порогу отчётности.

Code Review также может сообщать о проблемах безопасности во время общей проверки, поэтому обе проверки могут сообщить об одной и той же проблеме.

Перед началом работы

Чтобы настроить автоматический Codex Security Review, вам потребуются:

  • Доступ к Codex Security Review для вашего рабочего пространства
  • Настроенный Codex cloud с подключённым репозиторием GitHub
  • Права push или admin в GitHub для настройки репозитория

Существующее сканирование Codex Security необязательно.

Настройка Codex Security Review

Настройки репозитория общие. Их изменение влияет на запросы на слияние, выбранные политикой Review репозитория, а не только на ваши запросы. Личные предпочтения применяются к вашим запросам на слияние, когда репозиторий настроен на использование личных предпочтений.

  1. Перейдите в настройки Codex и выберите репозиторий.
  2. В разделе Проверка уязвимостей безопасности включите Автоматическую проверку безопасности.
  3. В поле Проверка выберите, для каких пул-реквестов выполняется Codex Security Review:
    • Следовать личным предпочтениям позволяет каждому участнику включить проверку в личных настройках Codex Security Review.
    • Все PR — проверка всех пул-реквестов в репозитории.
    • PR команды, если этот вариант доступен, — проверка пул-реквестов, открытых участниками вашего рабочего пространства ChatGPT, а не участниками команды GitHub.
  4. В поле Триггер выберите, когда запускается Codex Security Review:
    • При открытии PR — независимый запуск при открытии пул-реквеста.
    • При каждом push — независимый запуск после отправки новых коммитов.
    • При каждом запуске проверки кода — требуется Code Review; Codex Security Review запускается вместе с ним.

Подключение GitHub или включение личных проверок для другого участника не запрашивает дополнительную проверку ваших запросов на слияние. Настройки репозитория и личные настройки определяют, будет ли запущена автоматическая проверка; они не создают отдельную проверку для каждого подключённого пользователя. Последующие отправки коммитов могут запустить новую проверку в соответствии с Trigger, а дополнительные проверки можно запросить вручную.

Добавление контекста модели угроз

Вы можете настроить модель угроз, чтобы предоставить Codex контекст об активах вашего приложения, границах доверия, допущениях безопасности и рисках, характерных для репозитория. Если в репозитории уже есть конфигурация сканирования Codex Security, можно использовать её модель угроз. В противном случае укажите путь к файлу модели угроз, добавленному в репозиторий. Если источник не указан, Codex повторно создаёт модель угроз для каждой проверки.

Установка порогов отчётности

По умолчанию автоматические проверки Codex Security Review сообщают о проблемах уровней Высокий и Критический, а проверки, запрошенные вручную, — о проблемах уровней Средний, Высокий и Критический. Минимальный уровень серьёзности можно изменить отдельно для автоматических и ручных проверок, а также добавить переопределения на основе путей.

Проблемы, опубликованные в запросе на слияние, наследуют его настройки видимости в GitHub. Любой пользователь, который может просматривать запрос на слияние, может видеть эти проблемы, в том числе в публичных репозиториях или запросах на слияние от участников вне вашего рабочего пространства. Порог отчётности определяет, что Codex публикует в GitHub. Полный отчёт Codex Security Review остаётся в Codex.

Запрос Codex Security Review

Чтобы запросить Codex Security Review вручную, добавьте в pull request следующий комментарий:

@codex security review

Codex добавляет реакцию, пока выполняется проверка, а затем публикует результаты, соответствующие заданному вами порогу для ручной публикации, прямо в пул-реквесте. Откройте связанную задачу Codex и выберите вкладку Отчёт о безопасности, чтобы просмотреть полный отчёт, включая серьёзность, путь атаки, подтверждающие материалы, результаты валидации и рекомендации по устранению. Если ни одна проблема не достигает порога публикации, Codex не публикует результаты в пул-реквесте. Проверьте статус задачи и полный отчёт, прежде чем считать отсутствие комментариев признаком завершённой проверки без выявленных проблем.

Связанные документы