Configuration de Codex Security dans le cloud

Cette page vous guide de l’accès initial jusqu’aux résultats examinés et aux pull requests de correction dans Codex Security dans le cloud.

1. Accès et environnement

Codex Security dans le cloud analyse les dépôts GitHub connectés via Codex Cloud.

• Vérifiez que votre espace de travail a accès à Codex Security dans le cloud.
• Vérifiez que le dépôt à analyser est disponible dans Codex Cloud.

Accédez à la page Environnements Codex et vérifiez si le dépôt dispose déjà d’un environnement. Si ce n’est pas le cas, créez-en un avant de continuer.

CodexCodeSecurityAppDocsJSPRO

Environments

Search environmentsCreate environment

NameRepoNumber of tasksCreatorCreated at

2. Nouvelle analyse de sécurité

Une fois l’environnement créé, accédez à la page Créer une analyse de sécurité, puis choisissez le dépôt que vous venez de connecter.

Codex Security analyse d’abord les dépôts en remontant l’historique à partir des commits les plus récents. Cette méthode lui permet de constituer et d’actualiser le contexte d’analyse à mesure que de nouveaux commits sont ajoutés.

Pour configurer un dépôt :

1. Sélectionnez l’organisation GitHub.
2. Sélectionnez le dépôt.
3. Sélectionnez la branche à analyser.
4. Sélectionnez l’environnement.
5. Choisissez une fenêtre d’historique. Une fenêtre plus longue fournit davantage de contexte, mais l’analyse rétroactive prend plus de temps.
6. Cliquez sur Créer.

CodexCodeSecurityAppDocsJSPRO

Create a security scan

We’ll continuously monitor this repository for potential security issues.

Organization

RepositorySelect repository

Branch—

EnvironmentSelect environment

Lookback window1w　2w　1m　3m　∞

CancelCreate

3. Les analyses initiales peuvent prendre du temps

Lorsque vous créez l’analyse, Codex Security commence par effectuer une passe de sécurité au niveau des commits sur toute la fenêtre d’historique sélectionnée. L’analyse rétroactive initiale peut prendre quelques heures, en particulier pour les dépôts volumineux ou les fenêtres d’historique longues. Il est normal que les résultats n’apparaissent pas immédiatement. Attendez la fin de l’analyse initiale avant d’ouvrir un ticket ou de lancer un dépannage.

4. Examinez les analyses et améliorez le modèle de menaces

CodexCodeSecurityAppDocsJSPRO

Edit Pause

Security scan

567-labs/instructor

Status

Scanning...

Findings

0112019

Scanned commits

1472

Owner

Repository567-labs/instructor

Branchmain

Environment567-labs/instructor

Look-back window∞

Threat model

Overview

Instructor is a Python library that wraps multiple LLM providers (OpenAI, Anthropic, Gemini, Mistral, etc.) and converts model responses into validated Pydantic models. It patches provider client methods to accept response_model, handles schema generation, retries, and response parsing, and offers optional caching, multimodal inputs (images, audio, PDF), batch processing, and CLI tooling. It is usually embedded inside backend services, data pipelines, or scripts that forward user or document content to external LLM APIs. The library itself is not a web server, but it often runs in environments where untrusted user input influences prompts and where returned data may drive downstream automation.

Threat model, trust boundaries and assumptions

Trust boundaries

Une fois l’analyse initiale terminée, ouvrez-la et examinez le modèle de menaces généré. Après l’apparition des premiers résultats, mettez à jour le modèle de menaces pour qu’il corresponde à votre architecture, à vos frontières de confiance et à votre contexte métier. Codex Security peut ainsi hiérarchiser les problèmes pour votre équipe.

Après l’apparition des premiers résultats, réexaminez le modèle afin que les recommandations d’analyse restent en phase avec les priorités actuelles. En le tenant à jour, vous aidez Codex Security à produire de meilleures suggestions.

Pour en savoir plus sur les modèles de menaces et leur influence sur la criticité et le triage, consultez Améliorer le modèle de menaces.

5. Examinez les résultats et appliquez des correctifs

Une fois l’analyse rétroactive initiale terminée, examinez les résultats dans la vue Résultats .

Vous pouvez utiliser deux vues :

• Résultats recommandés : une liste évolutive des 10 problèmes les plus critiques du dépôt
• Tous les résultats : un tableau triable et filtrable des résultats pour l’ensemble du dépôt

CodexCodeSecurityAppDocsJSPRO

Archive Create PR

Finding

Bedrock image URL handling enables SSRF via requests.get

ReportPatch

Severity

High

Adjust to improve accuracy in future scans

Commit

Repository

567-labs/instructor

Summary

Introduced SSRF risk by fetching user-controlled http(s) image URLs during Bedrock message conversion.

The commit adds _openai_image_part_to_bedrock and wires it into message preparation. When a message contains an OpenAI-style image_url part, the code issues requests.get() to the supplied URL and embeds the response bytes into the Bedrock request. There is no allowlist, IP filtering, or size limits, and redirects are allowed by default. If an attacker can control message content (common in services that accept user prompts), they can force the host to fetch internal URLs (e.g., metadata services or internal APIs) and exfiltrate the response bytes to the external Bedrock provider. This behavior did not exist before, as Bedrock previously rejected non-text content.

Validation

Identify http(s) fetch of image_url with requests.get without allowlist/size limit in _openai_image_part_to_bedrock.

Confirm OpenAI-style image_url parts are passed to _openai_image_part_to_bedrock in _to_bedrock_content_items.

Confirm _prepare_bedrock_converse_kwargs_internal uses _to_bedrock_content_items on message content.

Demonstrate runtime fetch of attacker-controlled URL via PoC and show bytes returned.

Assess for mitigations (scheme restriction only; no IP/allowlist).

bedrock_ssrf_poc.tar.gzDownload

Evidence

Cliquez sur un résultat pour ouvrir sa page de détails, qui contient :

• une description concise du problème
• les métadonnées clés, comme les détails du commit et les chemins de fichiers
• un raisonnement sur l’impact qui tient compte du contexte
• les extraits de code pertinents
• le contexte du chemin d’appel ou du flux de données, lorsqu’il est disponible
• les étapes de validation et leurs résultats

Vous pouvez examiner chaque résultat et créer une PR directement depuis sa page de détails.

Documentation associée

• Codex Security présente une vue d’ensemble du produit.
• FAQ sur Codex Security dans le cloud répond aux questions courantes sur le cloud.
• Améliorer le modèle de menaces explique comment améliorer le contexte d’analyse et la hiérarchisation des résultats.