ChatGPT Belgeleri
Türkçe
İletişim goolvyouyou@gmail.com

Security Review

GitHub pull request'leri için ayrıntılı güvenlik incelemelerini yapılandırın ve çalıştırın.

Codex Security Review, ChatGPT Enterprise, Business, Edu ve Pro müşterileri tarafından kullanılabilir. Plus planında kullanılamaz. Güvenlik incelemeleri, plana dahil Codex kullanım hakkını veya ChatGPT kredilerini tüketir.

Bir GitHub çekme isteğinin farkındaki ve destekleyici kodundaki güvenlik sorunlarını denetlemek için Security Review kullanın. Yapılandırıldığında tehdit modeli bağlamından veya güvenlik yönergelerinden yararlanır ve raporlama eşiğinizi karşılayan bulguları yayımlar.

Kod İncelemesi de genel inceleme sırasında güvenlik sorunlarını bildirebilir; bu nedenle iki inceleme aynı bulguyu raporlayabilir.

Başlamadan önce

Otomatik Codex Security Review'ı yapılandırmak için şunlara ihtiyacınız vardır:

  • Çalışma alanınız için Codex Security Review erişimi
  • Bağlı bir GitHub deposuyla kurulmuş Codex bulutu
  • Depo ayarları için GitHub push veya yönetici izni

Mevcut bir Codex Security taraması isteğe bağlıdır.

Codex Security Review'ı yapılandırma

Depo ayarları ortaktır. Bu ayarların değiştirilmesi, yalnızca kendi çekme isteklerinizi değil, deponun Review ilkesi tarafından seçilen çekme isteklerini de etkiler. Kişisel tercihler, depo kişisel tercihleri izlediğinde kendi çekme isteklerinize uygulanır.

  1. Codex ayarlarına gidin ve bir depo seçin.
  2. Güvenlik açıklarını incele altında Otomatik güvenlik incelemesi seçeneğini açın.
  3. Hangi pull request'lerin Codex Security Review ile inceleneceğini seçmek için İnceleme seçeneğini kullanın:
    • Kişisel tercihleri izle, katkıda bulunan her kişinin kendi Codex Security Review ayarlarıyla incelemeyi etkinleştirmesine olanak tanır.
    • Tüm PR'ler, depodaki her pull request için geçerlidir.
    • Ekip PR'leri, kullanılabilir olduğunda, bir GitHub ekibinin üyeleri yerine ChatGPT çalışma alanınızın üyeleri tarafından açılan pull request'ler için geçerlidir.
  4. Codex Security Review'un ne zaman çalışacağını seçmek için Tetikleyici seçeneğini kullanın:
    • PR açıldığında, bir pull request açıldığında bağımsız olarak çalışır.
    • Her push işleminde, yeni commit'ler gönderildikten sonra bağımsız olarak çalışır.
    • Kod incelemesi her çalıştığında, Kod incelemesi gerektirir ve Codex Security Review'u onunla birlikte çalıştırır.

GitHub'ı bağlamak veya başka bir katkıda bulunan için kişisel incelemeleri etkinleştirmek, çekme istekleriniz için ek bir inceleme talep etmez. Depo ayarları ve kişisel ayarlar, otomatik inceleme çalıştırılıp çalıştırılmayacağını belirler; bağlı her kullanıcı için ayrı bir inceleme oluşturmaz. Sonraki gönderimler Trigger ayarına göre başka bir incelemeyi tetikleyebilir ve ek incelemeleri elle talep edebilirsiniz.

Tehdit modeli bağlamı ekleme

Codex'e uygulamanızın varlıkları, güven sınırları, güvenlik varsayımları ve depoya özgü riskleri hakkında bağlam sağlamak için bir tehdit modeli yapılandırabilirsiniz. Depoda mevcut bir Codex Security tarama yapılandırması varsa bunun tehdit modelini kullanabilirsiniz. Aksi takdirde depoya eklenmiş bir tehdit modeli dosyasının yolunu belirtin. Bir kaynak belirtmezseniz Codex, her inceleme için tehdit modelini yeniden oluşturur.

Raporlama eşiklerini belirleme

Otomatik Codex Security Review'lar varsayılan olarak Yüksek ve Kritik bulguları, elle talep edilen incelemeler ise Orta, Yüksek ve Kritik bulguları bildirir. Otomatik ve elle yapılan incelemeler için asgari önem derecesini birbirinden bağımsız olarak değiştirebilir ve yol tabanlı geçersiz kılmalar ekleyebilirsiniz.

Bir çekme isteğinde yayımlanan bulgular, o çekme isteğinin GitHub görünürlüğünü devralır. Çekme isteğini görüntüleyebilen herkes bu bulguları da görüntüleyebilir; buna herkese açık depolardaki veya çalışma alanınızın dışından katkıda bulunanların açtığı çekme isteklerindeki bulgular da dahildir. Raporlama eşiği, Codex'in GitHub'da neleri yayımlayacağını belirler. Codex Security Review raporunun tamamı Codex'te kalır.

Codex Security Review talep etme

Codex Security Review'ı elle talep etmek için bir çekme isteğine şu yorumu ekleyin:

@codex security review

Codex, inceleme sürerken bir tepki ekler, ardından manuel raporlama eşiğinizi karşılayan bulguları doğrudan çekme isteğinde yayımlar. Raporun tamamını görüntülemek için ilgili Codex görevini açın ve Security Report sekmesini seçin; rapor, önem derecesini, saldırı yolunu, destekleyici kanıtları, doğrulamayı ve sorunu giderme yönergelerini içerir. Hiçbir sorun raporlama eşiğini karşılamıyorsa Codex, çekme isteğinde bulgu yayımlamaz. Yorum bulunmamasını, bulgusuz tamamlanmış bir inceleme olarak yorumlamadan önce görev durumunu ve raporun tamamını kontrol edin.

İlgili belgeler