La revisión de seguridad de Codex está disponible para los clientes de ChatGPT Enterprise, Business, Edu y Pro. No está disponible en Plus. Las revisiones de seguridad consumen parte de la cuota de Codex incluida en tu plan o créditos de ChatGPT.
Usa la revisión de seguridad para detectar problemas de seguridad en el diff de un pull request de GitHub y en el código relacionado. Si configuras un modelo de amenazas o pautas de seguridad, la revisión toma en cuenta esa información. Codex publica los hallazgos que alcanzan el umbral que definiste.
La revisión de código también puede detectar y reportar problemas de seguridad durante la revisión general, por lo que ambas revisiones pueden reportar el mismo hallazgo.
Antes de empezar
Para configurar la revisión automática de seguridad de Codex, necesitas lo siguiente:
- Acceso a la revisión de seguridad de Codex en tu espacio de trabajo
- Codex Cloud configurado con un repositorio de GitHub conectado
- Permisos de push o de administración en GitHub para configurar el repositorio
Es opcional contar con un análisis previo de Codex Security.
Configurar la revisión de seguridad de Codex
La configuración del repositorio es compartida. Si la cambias, el cambio afecta a todos los pull requests que seleccione la política de Revisión del repositorio, incluidos los de otros colaboradores. Tus preferencias personales se aplican a tus pull requests cuando el repositorio está configurado para respetar esas preferencias.
- Ve a la configuración de Codex y elige un repositorio.
- En Revisar vulnerabilidades de seguridad, activa Revisión automática de seguridad.
- En Revisión, elige qué pull requests revisará Codex en busca de problemas de seguridad:
- Seguir las preferencias personales permite que cada colaborador active la revisión de seguridad de Codex desde su configuración personal.
- Todos los pull requests se aplica a todos los pull requests del repositorio.
- Pull requests del equipo, cuando está disponible, se aplica a los pull requests abiertos por miembros de tu espacio de trabajo de ChatGPT. La pertenencia a un equipo de GitHub no cuenta para esta opción.
- En Activador, elige cuándo se ejecuta la revisión de seguridad de Codex:
- Al abrir un pull request ejecuta la revisión de forma independiente cuando se abre un pull request.
- Con cada push ejecuta la revisión de forma independiente después de que se envían nuevos commits.
- Cada vez que se ejecute la revisión de código requiere que la revisión de código esté habilitada y ejecuta la revisión de seguridad de Codex junto con ella.
Conectar GitHub o habilitar las revisiones personales para otro colaborador no genera una solicitud de revisión adicional para tus pull requests. La configuración del repositorio y las preferencias personales determinan si se ejecuta una revisión automática. No se crea una revisión por cada usuario conectado. Los pushes posteriores pueden iniciar otra revisión según la opción que elijas en Activador. También puedes solicitar revisiones adicionales de forma manual.
Agregar contexto del modelo de amenazas
Puedes configurar un modelo de amenazas para que Codex tenga contexto sobre los activos de tu aplicación, sus límites de confianza, los supuestos de seguridad y los riesgos específicos del repositorio. Si el repositorio ya tiene configurado un análisis de Codex Security, puedes usar el modelo de amenazas de ese análisis. De lo contrario, indica la ruta de un archivo de modelo de amenazas que forme parte del repositorio. Si no especificas una fuente, Codex vuelve a generar el modelo de amenazas en cada revisión.
Definir los umbrales para reportar hallazgos
De forma predeterminada, las revisiones automáticas de seguridad de Codex reportan hallazgos de gravedad alta y crítica, mientras que las revisiones que solicitas manualmente reportan hallazgos de gravedad media, alta y crítica. Puedes cambiar por separado la gravedad mínima de las revisiones automáticas y manuales, y definir excepciones según la ruta.
Los hallazgos que se publican en un pull request heredan su visibilidad en GitHub. Cualquier persona que pueda ver el pull request también puede ver los hallazgos, incluso en repositorios públicos o en pull requests de colaboradores externos a tu espacio de trabajo. El umbral determina qué hallazgos publica Codex en GitHub. El informe completo de la revisión de seguridad permanece en Codex.
Solicitar una revisión de seguridad de Codex
Para solicitar manualmente una revisión de seguridad de Codex, agrega este comentario a un pull request:
@codex security review
Codex agrega una reacción al comentario mientras se ejecuta la revisión. Después publica directamente en el pull request los hallazgos que alcanzan el umbral que definiste para las revisiones manuales. Abre la tarea de Codex correspondiente y selecciona la pestaña Informe de seguridad para ver el informe completo, que incluye la gravedad, la ruta de ataque, las pruebas que respaldan el hallazgo, la validación y las pautas para corregir el problema. Si ningún problema alcanza el umbral, Codex no publica hallazgos en el pull request. Si no ves ningún comentario con resultados, consulta el estado de la tarea y el informe completo antes de concluir que la revisión terminó sin hallazgos.
Documentación relacionada
- Revisar pull requests de GitHub con Codex explica cómo funcionan la revisión de código y la integración con GitHub.
- Codex Security ofrece una descripción general del producto.
- Configurar Codex Security en la nube explica cómo se analizan los repositorios y cómo se revisan los hallazgos.
- Mejorar el modelo de amenazas explica cómo ajustar el contexto del repositorio.