Codex use case
Lancez une analyse de sécurité approfondie
Examinez en profondeur un dépôt que vous avez l’autorisation d’analyser pour y repérer des failles plausibles.
Utilisez le plugin Codex Security pour réaliser un audit plus complet d’un dépôt ou d’un dossier précis. Le plugin recherche des vulnérabilités en plusieurs passes, vérifie les pistes retenues et produit un rapport qui détaille les résultats et le périmètre couvert.
Best for
- Revues de sécurité applicative portant sur un dépôt ou un composant qui vous appartient ou que vous avez l’autorisation d’évaluer.
- Revues plus complètes où la recherche d’un plus grand nombre de failles potentielles justifie un temps d’exécution plus long et l’utilisation de tokens supplémentaires.
- Équipes de sécurité qui ont besoin de preuves traçables pour chaque problème signalé avant de décider des corrections à apporter.
Contents
Lancez une analyse de sécurité approfondie
Examinez en profondeur un dépôt que vous avez l’autorisation d’analyser pour y repérer des failles plausibles.
Utilisez le plugin Codex Security pour réaliser un audit plus complet d’un dépôt ou d’un dossier précis. Le plugin recherche des vulnérabilités en plusieurs passes, vérifie les pistes retenues et produit un rapport qui détaille les résultats et le périmètre couvert.
Utilisez le plugin Codex Security pour réaliser un audit plus complet d’un dépôt ou d’un dossier précis. Le plugin recherche des vulnérabilités en plusieurs passes, vérifie les pistes retenues et produit un rapport qui détaille les résultats et le périmètre couvert.
Best for
- Revues de sécurité applicative portant sur un dépôt ou un composant qui vous appartient ou que vous avez l’autorisation d’évaluer.
- Revues plus complètes où la recherche d’un plus grand nombre de failles potentielles justifie un temps d’exécution plus long et l’utilisation de tokens supplémentaires.
- Équipes de sécurité qui ont besoin de preuves traçables pour chaque problème signalé avant de décider des corrections à apporter.
Skills & Plugins
- Recherchez des vulnérabilités en plusieurs passes dans un dépôt ou un dossier précis, validez les pistes retenues, analysez les chemins d’attaque et consignez les résultats ainsi que le périmètre couvert.
| Skill | Why use it |
|---|---|
| Codex Security:deep Security Scan | Recherchez des vulnérabilités en plusieurs passes dans un dépôt ou un dossier précis, validez les pistes retenues, analysez les chemins d’attaque et consignez les résultats ainsi que le périmètre couvert. |
Starter prompt
Choisissez une analyse approfondie du dépôt
Utilisez une analyse approfondie si vous devez rechercher les vulnérabilités de façon plus complète dans un dépôt ou un dossier précis et que vous pouvez y consacrer davantage de temps. Le plugin Codex Security effectue plusieurs passes de détection avant de valider les problèmes relevés et de les classer par priorité. Ce workflow demande donc plus de temps et de ressources qu’une analyse standard.
Une analyse approfondie peut couvrir un dépôt entier ou se limiter à un seul package ou répertoire que vous désignez explicitement. Pour examiner une pull request, un commit, les différences entre deux branches ou un patch de l’arbre de travail, utilisez $codex-security:security-diff-scan.
Préparez une analyse autorisée
- Ouvrez le dépôt dans Codex et suivez toutes les étapes du guide de démarrage rapide du plugin Codex Security.
- Vérifiez que vous êtes propriétaire du dépôt ou que vous avez l’autorisation d’en évaluer la sécurité.
- Dans
SECURITY.md, décrivez l’architecture, les frontières de confiance et les invariants de sécurité. Précisez les critères de signalement des problèmes, les exclusions et les règles d’évaluation de la gravité. Utilisez des fichiersSECURITY.mddans les sous-répertoires pour définir les règles qui leur sont propres. - Consignez dans
AGENTS.mdles commandes de build, de test et de validation prises en charge, ainsi que les autres instructions propres au dépôt. - Lancez l’analyse avec le prompt de démarrage et laissez-la aller jusqu’au bout des passes de détection, de la validation, de l’analyse des chemins d’attaque et de la rédaction du rapport final.
- Examinez l’espace de travail qui regroupe les problèmes relevés, puis consultez le rapport et vérifiez quels points restent à démontrer. Si nécessaire, demandez des rapports détaillés sur les vulnérabilités ou des conseils pour renforcer la sécurité de l’architecture.
Examinez les éléments de preuve avant de corriger un problème
Le rapport final devrait indiquer les emplacements concernés, expliquer comment le comportement en cause peut se produire, décrire les vérifications effectuées par Codex, préciser les points qui restent à démontrer et proposer une piste de correction au périmètre bien défini. Distinguez les problèmes signalés sans preuve de validation de ceux dont la validation est établie.
Ne commencez à corriger un problème qu’après l’avoir sélectionné et examiné. Suivez le guide Traiter une liste de vulnérabilités en attente pour corriger les problèmes un par un et vérifier après chaque correction, à l’aide de tests ciblés, qu’elle n’introduit aucune régression.
Pour en savoir plus sur la configuration, les vérifications préalables, le choix du périmètre et le déroulement de l’analyse, consultez le guide Lancer une analyse de sécurité approfondie.
Related use cases
Analyse de plusieurs dépôts
Utilisez la CLI de Codex Security pour analyser chaque dépôt d’une liste à un commit précis
Lancez votre première analyse de sécurité
Utilisez le plugin Codex Security pour analyser un dépôt local
Vérifiez la sécurité des modifications du code
Utilisez le plugin Codex Security pour examiner un ensemble de modifications dans Git...