Tài liệu ChatGPT
Tiếng Việt
Liên hệ goolvyouyou@gmail.com

Security Review

Cấu hình và chạy quy trình xem xét bảo mật chuyên sâu cho các pull request trên GitHub.

Codex Security Review có sẵn cho khách hàng ChatGPT Enterprise, Business, Edu và Pro. Tính năng này không có trên Plus. Các lượt rà soát bảo mật sử dụng hạn mức Codex đi kèm hoặc tín dụng ChatGPT.

Sử dụng Security Review để kiểm tra các vấn đề bảo mật trong phần thay đổi và mã hỗ trợ của một pull request trên GitHub. Tính năng này sử dụng ngữ cảnh mô hình mối đe dọa hoặc hướng dẫn bảo mật khi được cấu hình và đăng các phát hiện đạt ngưỡng báo cáo của bạn.

Code Review cũng có thể báo cáo các vấn đề bảo mật trong quá trình rà soát tổng thể, vì vậy hai lượt rà soát có thể báo cáo cùng một phát hiện.

Trước khi bắt đầu

Để cấu hình Codex Security Review tự động, bạn cần:

  • Quyền truy cập Codex Security Review cho không gian làm việc của bạn
  • Codex cloud đã được thiết lập và kết nối với một kho lưu trữ GitHub
  • Quyền push hoặc quản trị trên GitHub đối với phần cài đặt kho lưu trữ

Bạn không bắt buộc phải có sẵn một lượt quét Codex Security.

Cấu hình Codex Security Review

Các cài đặt kho mã được dùng chung. Thay đổi chúng sẽ ảnh hưởng đến các pull request được chọn bởi chính sách Review của kho mã, không chỉ các pull request của riêng bạn. Tùy chọn cá nhân áp dụng cho các pull request của bạn khi kho mã tuân theo tùy chọn cá nhân.

  1. Vào cài đặt Codex và chọn một kho lưu trữ.
  2. Trong Rà soát lỗ hổng bảo mật, bật Tự động rà soát bảo mật.
  3. Dùng Rà soát để chọn những pull request được Codex Security Review rà soát:
    • Theo tùy chọn cá nhân cho phép mỗi người đóng góp bật tính năng này qua phần cài đặt Codex Security Review cá nhân.
    • Tất cả PR áp dụng cho mọi pull request trong kho lưu trữ.
    • PR của nhóm, khi khả dụng, áp dụng cho các pull request do thành viên trong không gian làm việc ChatGPT của bạn mở, không phải thành viên của một nhóm GitHub.
  4. Dùng Điều kiện kích hoạt để chọn thời điểm Codex Security Review chạy:
    • Khi mở PR chạy độc lập khi một pull request được mở.
    • Mỗi lần push chạy độc lập sau khi các commit mới được đẩy lên.
    • Mỗi khi chạy rà soát mã yêu cầu Code Review và chạy Codex Security Review cùng với tính năng đó.

Việc kết nối GitHub hoặc bật rà soát cá nhân cho một người đóng góp khác không yêu cầu thêm lượt rà soát cho các pull request của bạn. Cài đặt kho mã và cài đặt cá nhân quyết định có chạy lượt rà soát tự động hay không; chúng không tạo một lượt rà soát cho mỗi người dùng đã kết nối. Các lần đẩy mã sau có thể kích hoạt lượt rà soát khác theo Trigger, và bạn có thể yêu cầu thêm lượt rà soát theo cách thủ công.

Thêm ngữ cảnh mô hình mối đe dọa

Bạn có thể cấu hình một mô hình mối đe dọa để cung cấp cho Codex ngữ cảnh về tài sản, ranh giới tin cậy, giả định bảo mật và rủi ro riêng của kho lưu trữ trong ứng dụng. Nếu kho lưu trữ đã có cấu hình quét Codex Security, bạn có thể sử dụng mô hình mối đe dọa của cấu hình đó. Nếu không, hãy cung cấp đường dẫn đến một tệp mô hình mối đe dọa đã được commit vào kho lưu trữ. Nếu bạn không chỉ định nguồn, Codex sẽ tạo lại mô hình mối đe dọa cho mỗi lần đánh giá.

Đặt ngưỡng báo cáo

Theo mặc định, các phiên Codex Security Review tự động báo cáo phát hiện ở mức Cao và Nghiêm trọng, trong khi các phiên đánh giá được yêu cầu thủ công báo cáo phát hiện ở mức Trung bình, Cao và Nghiêm trọng. Bạn có thể thay đổi mức độ nghiêm trọng tối thiểu độc lập cho các phiên đánh giá tự động và thủ công, đồng thời thêm các thiết lập ghi đè dựa trên đường dẫn.

Các phát hiện được đăng lên pull request kế thừa chế độ hiển thị trên GitHub của pull request đó. Bất kỳ ai có thể xem pull request đều có thể xem các phát hiện này, kể cả trên kho mã công khai hoặc các pull request từ người đóng góp bên ngoài không gian làm việc của bạn. Ngưỡng báo cáo kiểm soát những gì Codex đăng lên GitHub. Báo cáo Codex Security Review đầy đủ vẫn được lưu trong Codex.

Yêu cầu Codex Security Review

Để yêu cầu Codex Security Review theo cách thủ công, hãy thêm bình luận này vào một pull request:

@codex security review

Codex thả biểu tượng cảm xúc khi quá trình rà soát đang diễn ra, sau đó đăng các phát hiện đáp ứng ngưỡng báo cáo thủ công của bạn trực tiếp lên pull request. Mở tác vụ Codex liên quan và chọn thẻ Báo cáo bảo mật để xem báo cáo đầy đủ, bao gồm mức độ nghiêm trọng, đường tấn công, bằng chứng hỗ trợ, kết quả xác minh và hướng dẫn khắc phục. Nếu không có vấn đề nào đáp ứng ngưỡng báo cáo, Codex sẽ không đăng phát hiện lên pull request. Hãy kiểm tra trạng thái tác vụ và báo cáo đầy đủ trước khi coi việc không có bình luận là dấu hiệu cho thấy quá trình rà soát đã hoàn tất mà không có phát hiện nào.

Tài liệu liên quan