Configuración de Codex Security en la nube

Esta página te guía desde el acceso inicial hasta la revisión de hallazgos y los Pull Requests de corrección en Codex Security en la nube.

1. Acceso y entorno

Codex Security en la nube analiza los repositorios de GitHub conectados mediante Codex Cloud.

• Confirma que tu espacio de trabajo tenga acceso a Codex Security en la nube.
• Confirma que el repositorio que quieres analizar esté disponible en Codex Cloud.

Ve a Entornos de Codex y verifica si el repositorio ya tiene un entorno. Si no lo tiene, crea uno allí antes de continuar.

CodexCodeSecurityAppDocsJSPRO

Environments

Search environmentsCreate environment

NameRepoNumber of tasksCreatorCreated at

2. Nuevo análisis de seguridad

Una vez que exista el entorno, ve a Crear un análisis de seguridad y elige el repositorio que acabas de conectar.

Codex Security analiza primero los commits más recientes de los repositorios y luego retrocede en el historial. Usa este proceso para crear y actualizar el contexto del análisis a medida que llegan nuevos commits.

Para configurar un repositorio:

1. Selecciona la organización de GitHub.
2. Selecciona el repositorio.
3. Selecciona la rama que quieres analizar.
4. Selecciona el entorno.
5. Elige una ventana de historial. Las ventanas más extensas proporcionan más contexto, pero el procesamiento retroactivo tarda más.
6. Haz clic en Crear.

CodexCodeSecurityAppDocsJSPRO

Create a security scan

We’ll continuously monitor this repository for potential security issues.

Organization

RepositorySelect repository

Branch—

EnvironmentSelect environment

Lookback window1w　2w　1m　3m　∞

CancelCreate

3. Los análisis iniciales pueden tardar un tiempo

Cuando creas el análisis, Codex Security primero ejecuta una revisión de seguridad a nivel de commit en la ventana de historial seleccionada. El procesamiento retroactivo inicial puede tardar algunas horas, especialmente en repositorios grandes o con ventanas más extensas. Es normal que los hallazgos no aparezcan de inmediato. Espera a que termine el análisis inicial antes de abrir un ticket o intentar solucionar problemas.

4. Revisar los análisis y mejorar el modelo de amenazas

CodexCodeSecurityAppDocsJSPRO

Edit Pause

Security scan

567-labs/instructor

Status

Scanning...

Findings

0112019

Scanned commits

1472

Owner

Repository567-labs/instructor

Branchmain

Environment567-labs/instructor

Look-back window∞

Threat model

Overview

Instructor is a Python library that wraps multiple LLM providers (OpenAI, Anthropic, Gemini, Mistral, etc.) and converts model responses into validated Pydantic models. It patches provider client methods to accept response_model, handles schema generation, retries, and response parsing, and offers optional caching, multimodal inputs (images, audio, PDF), batch processing, and CLI tooling. It is usually embedded inside backend services, data pipelines, or scripts that forward user or document content to external LLM APIs. The library itself is not a web server, but it often runs in environments where untrusted user input influences prompts and where returned data may drive downstream automation.

Threat model, trust boundaries and assumptions

Trust boundaries

Cuando termine el análisis inicial, abre el análisis y revisa el modelo de amenazas que se generó. Después de que aparezcan los hallazgos iniciales, actualiza el modelo de amenazas para que se ajuste a tu arquitectura, tus límites de confianza y tu contexto empresarial. Esto ayuda a Codex Security a priorizar los problemas para tu equipo.

Después de que aparezcan los hallazgos iniciales, vuelve a revisar el modelo para que la orientación del análisis siga alineada con las prioridades actuales. Mantenerlo actualizado ayuda a Codex Security a generar mejores sugerencias.

Para obtener una explicación más detallada de los modelos de amenazas y de cómo afectan el nivel de criticidad y la priorización, consulta Mejorar el modelo de amenazas.

5. Revisar los hallazgos y aplicar correcciones

Cuando termine el procesamiento retroactivo inicial, revisa los hallazgos en la vista Hallazgos .

Puedes usar dos vistas:

• Hallazgos recomendados: una lista dinámica de los 10 problemas más críticos del repositorio
• Todos los hallazgos: una tabla de hallazgos de todo el repositorio que puedes ordenar y filtrar

CodexCodeSecurityAppDocsJSPRO

Archive Create PR

Finding

Bedrock image URL handling enables SSRF via requests.get

ReportPatch

Severity

High

Adjust to improve accuracy in future scans

Commit

Repository

567-labs/instructor

Summary

Introduced SSRF risk by fetching user-controlled http(s) image URLs during Bedrock message conversion.

The commit adds _openai_image_part_to_bedrock and wires it into message preparation. When a message contains an OpenAI-style image_url part, the code issues requests.get() to the supplied URL and embeds the response bytes into the Bedrock request. There is no allowlist, IP filtering, or size limits, and redirects are allowed by default. If an attacker can control message content (common in services that accept user prompts), they can force the host to fetch internal URLs (e.g., metadata services or internal APIs) and exfiltrate the response bytes to the external Bedrock provider. This behavior did not exist before, as Bedrock previously rejected non-text content.

Validation

Identify http(s) fetch of image_url with requests.get without allowlist/size limit in _openai_image_part_to_bedrock.

Confirm OpenAI-style image_url parts are passed to _openai_image_part_to_bedrock in _to_bedrock_content_items.

Confirm _prepare_bedrock_converse_kwargs_internal uses _to_bedrock_content_items on message content.

Demonstrate runtime fetch of attacker-controlled URL via PoC and show bytes returned.

Assess for mitigations (scheme restriction only; no IP/allowlist).

bedrock_ssrf_poc.tar.gzDownload

Evidence

Haz clic en un hallazgo para abrir su página de detalles, que incluye:

• una descripción concisa del problema
• metadatos clave, como los detalles del commit y las rutas de los archivos
• razonamiento contextual sobre el impacto
• fragmentos de código relevantes
• contexto de la ruta de llamadas o del flujo de datos, cuando esté disponible
• pasos y resultados de la validación

Puedes revisar cada hallazgo y crear un Pull Request directamente desde la página de detalles del hallazgo.

Documentación relacionada

• Codex Security ofrece una descripción general del producto.
• Preguntas frecuentes sobre Codex Security en la nube responde preguntas comunes sobre la nube.
• Mejorar el modelo de amenazas explica cómo mejorar el contexto del análisis y la priorización de los hallazgos.