Ejecuta Codex Security en CI para revisar los cambios de los Pull Requests o merge requests, analizar tu rama predeterminada y conservar los hallazgos y los datos de cobertura. Consulta la guía de tu proveedor de CI para conocer el flujo de trabajo, cómo gestionar los informes y las opciones para aplicar políticas.
Prepara el flujo de trabajo
Para ejecutar análisis, necesitas acceso a Codex Security. Guarda una clave de API de OpenAI en el almacén de secretos de tu proveedor de CI con el nombre CODEX_SECURITY_API_KEY y asigna su valor a la variable de entorno OPENAI_API_KEY del proceso de análisis.
Ejecuta análisis solo en repositorios y cambios en los que confíes. Los análisis usan los permisos locales del runner y se ejecutan sin detenerse para solicitar aprobación. Mantén las credenciales ajenas al análisis y los pasos de despliegue en trabajos separados.
Usa un modelo aprobado para Daybreak
Para usar Daybreak Blue a través de Trusted Access for Cyber, configura el parámetro model de la GitHub Action con el valor gpt-6-sol y el parámetro cyber-access-program con el valor daybreak_blue. Para ejecutar análisis directamente desde la CLI, usa --model gpt-6-sol y --cyber-access-program daybreak_blue.
Usa una clave de API de un proyecto que tenga Daybreak Blue habilitado y acceso al modelo seleccionado. Configurar el modelo o el programa no te concede acceso. Consulta Configura el acceso opcional a Daybreak para ver los ajustes de la GitHub Action.
Elige una integración
Agrega el flujo de trabajo de GitHub Actions
Usa la guía de GitHub Actions para configurar las comprobaciones de los Pull Requests y los análisis programados del repositorio. La GitHub Action de Codex Security instala la CLI, guarda los informes y agrega un resumen del trabajo y anotaciones en el código fuente. La guía explica cómo configurar el runner, habilitar el acceso opcional a Daybreak, subir informes SARIF y aplicar una política de severidad.
Agrega el pipeline de GitLab CI/CD
Usa la guía de GitLab CI/CD para analizar los merge requests y la rama predeterminada, y para programar análisis. Empieza con un pipeline que solo ejecute análisis. Luego incorpora la gestión de informes, la aplicación de políticas y, si lo deseas, la corrección verificada de vulnerabilidades.
Usa otro sistema de CI
Instala el paquete público @openai/codex-security y ejecuta la CLI directamente. Usa --auth api-key, elige si quieres analizar un repositorio o un diff y guarda la salida en un directorio privado fuera del árbol de trabajo de Git. Tu runner debe contar con las dependencias que se describen en la guía de inicio rápido de la CLI.
Consulta la referencia de la CLI para conocer las opciones de análisis, las revisiones que puedes comparar en un diff, los formatos de informe, los directorios de estado y de salida, y cómo funcionan los reintentos.
Elige una política de severidad
Al principio, usa los resultados solo como referencia. Revisa una muestra representativa de los hallazgos, la cobertura del análisis, el costo y el tiempo de ejecución antes de decidir qué resultados deben bloquear una fusión.
Evalúa los hallazgos y comprueba si el análisis se completó. La política de severidad evalúa los hallazgos del análisis actual cuya severidad alcanza o supera el umbral configurado. Los hallazgos de análisis anteriores que siguen abiertos en el resumen del repositorio no afectan esa política. Un análisis incompleto puede dejar áreas sin revisar, incluso si no informa ningún hallazgo.
En la versión action-v0.3.0 de la GitHub Action, un análisis se considera completo cuando el análisis configurado produce un resultado válido. Las exclusiones del alcance, las investigaciones pospuestas y otras notas sobre la cobertura no impiden que se aplique la política de severidad. El trabajo falla si se produce un error en el escáner o al generar los informes obligatorios. La versión 0.3.0 de la CLI devuelve el código de salida 2 si hay errores en la entrada o en la ejecución, si falla la verificación de integridad del resultado o si no se puede generar una salida obligatoria. Revisa coverage.json al evaluar el resultado. Que el análisis se haya completado no garantiza que se hayan detectado todas las vulnerabilidades.
Sigue la guía de GitHub Actions o la guía de GitLab CI/CD para configurar la aplicación de la política. Para integraciones directas con la CLI, consulta Aplicación de la política de severidad y códigos de salida.