Security Review

Codex Security Review 面向 ChatGPT Enterprise、Business、Edu 和 Pro 客戶提供，Plus 客戶無法使用。安全審查會消耗套餐內含的 Codex 額度或 ChatGPT 點數。

使用 Security Review 檢查 GitHub PR的 差異及相關程式碼中的安全問題。如果設定了威脅模型上下文或安全指導， 它會使用這些資訊，並發布達到報告閾值的發現項。

程式碼審查 也可以在 常規審查中報告安全問題，因此兩種審查可能報告相同的發現項。

開始前

要設定自動 Codex Security Review，你需要：

• 你的工作區擁有 Codex Security Review 存取權限
• 已設定 Codex 雲端並連線 GitHub 儲存庫
• 擁有該儲存庫的 GitHub 推送權限或儲存庫設定的管理員權限

已有 Codex Security 掃描不是必需條件。

設定 Codex Security Review

儲存庫設定是共享的。更改這些設定會影響儲存庫 Review 策略選中的 PR，而不僅是你自己的PR。當儲存庫遵循個人 偏好設定時，你的個人偏好設定才會應用於你的PR。

1. 前往 Codex 設定並選擇一個儲存庫。
2. 在 審查安全漏洞 下，開啟 自動安全審查。
3. 使用 審查 選擇哪些 PR 接受 Codex Security Review：
   • 遵循個人偏好 允許每位貢獻者通過個人 Codex Security Review 設定選擇啟用。
   • 所有 PR 適用於儲存庫中的每個 PR。
   • 團隊 PR（如果可用）適用於由 你的 ChatGPT 工作區成員發起的 PR，而非 GitHub 團隊成員。
4. 使用 觸發條件 選擇何時執行 Codex Security Review：
   • 建立 PR 時 會在建立 PR 時獨立執行。
   • 每次推送時 會在推送新提交後獨立執行。
   • 每當程式碼審查執行時 需要啟用 Code Review，並讓 Codex Security Review 與其一同執行。

連線 GitHub 或為其他貢獻者啟用個人審查，並不會 為你的PR額外請求一次審查。儲存庫設定和個人設定 決定是否執行自動審查；不會為每位 已連線的使用者分別建立一次審查。後續推送可根據觸發條件 觸發另一次審查， 你也可以手動請求額外的審查。

新增威脅模型上下文

你可以設定威脅模型，為 Codex 提供有關應用 資產、信任邊界、安全假設以及儲存庫特定風險的上下文。 如果儲存庫已有 Codex Security 掃描設定，你可以使用 其中的威脅模型。否則，請提供已提交到 儲存庫的威脅模型檔案路徑。如果未指定來源，Codex 會為 每次審查重新生成威脅模型。

設定報告閾值

預設情況下，自動 Codex Security Review 會報告 高危（High） 和 嚴重（Critical） 發現，而手動請求的審查會報告 中危（Medium）、高危（High） 和 嚴重（Critical） 發現。你可以分別更改自動和手動審查的最低嚴重性級別， 並新增基於路徑的覆蓋規則。

發布到PR的發現項會繼承該PR在 GitHub 上的 可見性。任何能檢視PR的人都能檢視這些發現項， 包括公共儲存庫中的PR，或由工作區以外的貢獻者提交的 PR。報告閾值控制 Codex 向 GitHub 發布哪些內容。完整的 Codex Security Review 報告仍保留在 Codex 中。

請求 Codex Security Review

要手動請求 Codex Security Review，請在 PR 中新增以下評論：

@codex security review

審查執行期間，Codex 會新增表情回應，然後將符合你 手動審查報告閾值的發現項直接發布到PR。開啟關聯的 Codex 任務，選擇安全報告 選項卡即可檢視完整報告， 其中包括嚴重程度、攻擊路徑、支援證據、驗證結果和 修復建議。如果沒有問題達到報告閾值，Codex 就不會 向PR發布發現項。在將沒有評論的結果解讀為審查已完成且未發現問題之前， 請先檢查任務狀態和完整報告， 確認實際結果。

相關文件

• 使用 Codex 審查 GitHub PR介紹 Code Review 和 GitHub 整合。
• Codex Security介紹產品概覽。
• Codex Security 雲端設定介紹儲存庫掃描和發現審查。
• 改進威脅模型介紹如何最佳化儲存庫上下文。