La revue de sécurité de Codex Security est disponible avec les offres ChatGPT Enterprise, Business, Edu et Pro. L’offre Plus ne donne pas accès à cette fonctionnalité. Les revues de sécurité consomment une partie du quota Codex inclus dans votre offre ou des crédits ChatGPT.
Utilisez la revue de sécurité pour rechercher des problèmes de sécurité dans les modifications proposées par une pull request GitHub et dans le code dont elles dépendent. Si vous avez configuré un modèle de menace ou des consignes de sécurité, Codex en tient compte lors de la revue. Il signale les problèmes qui atteignent le seuil de signalement que vous avez défini.
La revue de code peut également signaler des problèmes de sécurité lors de son examen général. Les deux revues peuvent donc signaler le même problème.
Avant de commencer
Pour configurer la revue de sécurité automatique de Codex Security, vous devez disposer des éléments suivants :
- Un espace de travail ayant accès à la revue de sécurité de Codex Security
- Codex Cloud configuré et connecté à un dépôt GitHub
- Des droits d’écriture (push) ou d’administration sur le dépôt GitHub pour en configurer les paramètres
Vous pouvez configurer la revue même si vous n’avez encore lancé aucune analyse Codex Security.
Configurez la revue de sécurité de Codex Security
Les paramètres du dépôt sont partagés. Toute modification s’applique à l’ensemble des pull requests sélectionnées par le paramètre Revue du dépôt, y compris celles des autres contributeurs. Vos préférences personnelles s’appliquent à vos pull requests lorsque le dépôt est configuré pour suivre ces préférences.
- Ouvrez les paramètres de Codex et choisissez un dépôt.
- Sous Recherche de vulnérabilités, activez Revue de sécurité automatique.
- Utilisez le paramètre Revue pour choisir les pull requests qui feront l’objet d’une revue de sécurité :
- Suivre les préférences personnelles permet à chaque contributeur d’activer la revue de sécurité de Codex Security dans ses paramètres personnels.
- Toutes les PRs s’applique à toutes les pull requests du dépôt.
- PRs de l’équipe, lorsque cette option est disponible, s’applique aux pull requests ouvertes par les membres de votre espace de travail ChatGPT. L’appartenance à une équipe GitHub n’entre pas en compte.
- Utilisez le paramètre Déclencheur pour choisir quand lancer la revue de sécurité :
- À l’ouverture d’une PR lance la revue de sécurité indépendamment de la revue de code dès l’ouverture d’une pull request.
- À chaque push lance la revue de sécurité indépendamment de la revue de code après chaque envoi de nouveaux commits.
- À chaque revue de code nécessite que la revue de code soit activée et lance la revue de sécurité en même temps.
Connecter GitHub ou activer les revues personnelles pour un autre contributeur ne déclenche aucune revue supplémentaire de vos pull requests. Les paramètres du dépôt et les préférences personnelles déterminent si une revue automatique a lieu. Codex ne lance pas une revue par utilisateur connecté. Les push suivants peuvent déclencher une nouvelle revue selon le paramètre Déclencheur. Vous pouvez aussi demander d’autres revues manuellement.
Ajoutez le contexte du modèle de menace
Vous pouvez configurer un modèle de menace pour renseigner Codex sur les actifs de votre application, ses frontières de confiance, les hypothèses sur lesquelles repose sa sécurité et les risques propres au dépôt. Si une analyse Codex Security est déjà configurée pour le dépôt, vous pouvez réutiliser son modèle de menace. Sinon, indiquez le chemin d’un fichier de modèle de menace versionné dans le dépôt. Si vous ne précisez aucune source, Codex génère un nouveau modèle de menace à chaque revue.
Définissez les seuils de signalement
Par défaut, les revues de sécurité automatiques de Codex Security signalent les problèmes dont le niveau de gravité est Élevé ou Critique. Les revues demandées manuellement signalent les problèmes de niveau Moyen, Élevé ou Critique. Vous pouvez définir séparément le niveau de gravité minimal des revues automatiques et celui des revues manuelles, et prévoir des exceptions pour certains chemins.
Les problèmes signalés sur une pull request ont la même visibilité que celle-ci sur GitHub. Toute personne qui peut consulter la pull request peut donc voir ces signalements, y compris dans les dépôts publics ou sur les pull requests ouvertes par des contributeurs externes à votre espace de travail. Le seuil de signalement détermine ce que Codex publie sur GitHub. Le rapport complet de la revue de sécurité reste disponible dans Codex.
Demandez une revue de sécurité de Codex Security
Pour demander manuellement une revue de sécurité de Codex Security, ajoutez ce commentaire à une pull request :
@codex security review
Codex ajoute une réaction au commentaire pendant la revue, puis signale directement sur la pull request les problèmes qui atteignent le seuil défini pour les revues manuelles. Ouvrez la tâche Codex associée et sélectionnez l’onglet Rapport de sécurité pour consulter le rapport complet. Vous y trouverez le niveau de gravité de chaque problème, le chemin d’attaque, les éléments à l’appui du signalement, les informations de validation et les mesures correctives recommandées. Si aucun problème n’atteint le seuil de signalement, Codex ne publie aucun signalement sur la pull request. En l’absence de signalement dans les commentaires, vérifiez l’état de la tâche et consultez le rapport complet avant de conclure que la revue est terminée et qu’elle n’a détecté aucun problème.
Documentation associée
- Revue des pull requests GitHub avec Codex présente la revue de code et l’intégration GitHub.
- Codex Security donne une vue d’ensemble du produit.
- Configuration de Codex Security dans le cloud explique comment analyser les dépôts et examiner les problèmes détectés.
- Amélioration du modèle de menace explique comment affiner le contexte propre au dépôt.