了解什么是威胁模型，以及为什么编辑它能改善 Codex Security 给出的建议。
什么是威胁模型
威胁模型是一段简短的安全摘要，用来描述你的仓库是如何工作的。在 Codex Security 中，你会以 project overview 的形式编辑它，系统会把它作为后续扫描、优先级排序和审查时的上下文。
Codex Security 会先根据代码自动生成第一版。如果你觉得发现结果的关注点不对，第一件应该修改的通常就是威胁模型。
一个有用的威胁模型，应该简洁地说明系统如何工作，以及哪些区域值得重点审查。
通常它会明确指出：
- 入口点和不可信输入
- 信任边界和认证假设
- 敏感数据路径或高权限操作
- 你希望团队优先审查的区域
例如：
用于账户变更的公开 API。接受 JSON 请求和文件上传。使用内部认证服务做身份校验，并通过内部服务写入计费变更。审查时重点关注认证检查、上传解析，以及服务间信任边界。
这会让 Codex Security 在后续扫描和发现结果排序时拥有更好的起点。
改进并持续回看威胁模型
如果你想让结果更好，优先先改威胁模型。当发现结果没覆盖你关心的区域，或者结果总是出现在你并不预期的位置时，就应该先从这里入手。威胁模型会直接影响后续扫描的上下文。
在哪里编辑
如果你要查看或更新威胁模型，请前往 Codex Security scans，打开目标仓库，然后点击 Edit。
相关文档
来源：https://developers.openai.com/codex/security/threat-model