Codex セキュリティレビューはリサーチプレビューとして提供されています。 ChatGPT Enterprise、ChatGPT Business、ChatGPT Edu、ChatGPT Pro のお客様が利用できますが、 ChatGPT Plus では利用できません。導入期間中、Codex セキュリティレビューでは ChatGPT クレジットを消費しません。利用上限が適用される場合があります。
Codex セキュリティレビューは、Pull Request のセキュリティ上の問題に 特に注意を払いたいお客様向けの追加レビューです。
Codex セキュリティレビューでは、コード レビュー よりもセキュリティ固有のリスクを詳しく調査します。具体的には、 Pull Request の差分、関連するリポジトリのコンテキスト、構成済みの脅威モデル またはセキュリティガイダンスを分析します。コードレビューでも一般的なレビューの一環として、 セキュリティ関連の問題を特定することがあるため、検出結果が重複する場合があります。
開始前の準備
Codex セキュリティレビューの自動実行を構成するには、以下が必要です：
- ワークスペースで Codex セキュリティレビューのリサーチプレビューを利用できること
- Codex Cloud が GitHub リポジトリに接続された状態でセットアップ済みであること
- リポジトリ設定に対する GitHub の push 権限または admin 権限
既存の Codex Security スキャンは任意です。
Codex セキュリティレビューの構成
- Codex の設定 を開きます。
- リポジトリの設定 で、Codex
セキュリティレビューの対象にする Pull Request を選択します：
- 個人設定に従う を選択すると、各コントリビューターが各自の Codex セキュリティレビュー設定でオプトインできます。
- すべての PR をレビュー は、リポジトリ内のすべての Pull Request に適用されます。
- チームの PR をレビュー は、利用可能な場合、GitHub チームのメンバーではなく、 ChatGPT ワークスペースのメンバーが作成した Pull Request に適用されます。
- Codex セキュリティレビューを実行するタイミングを選択します：
- PR のオープン時 は、Pull Request がオープンされた時点で独立して実行されます。
- プッシュごと は、新しいコミットがプッシュされるたびに独立して実行されます。
- コードレビューの実行時 では、コードレビューが有効になっている必要があり、Codex セキュリティ レビューがコードレビューと同時に実行されます。
脅威モデルのコンテキストを追加
脅威モデルを構成すると、アプリケーションのアセット、信頼境界、 セキュリティ上の前提、リポジトリ固有のリスクに関するコンテキストを Codex に提供できます。 リポジトリに既存の Codex Security スキャン構成がある場合は、 その脅威モデルを使用できます。それ以外の場合は、リポジトリにコミット済みの脅威モデルファイルへの パスを指定します。ソースを指定しない場合、Codex はレビューごとに 脅威モデルを再生成します。
報告しきい値の設定
デフォルトでは、自動実行される Codex セキュリティレビューは 高 および 重大 の 検出結果を報告し、手動でリクエストしたレビューは 中、高、 重大 の検出結果を報告します。最小重大度は 自動レビューと手動レビューで個別に変更でき、パス単位のオーバーライドも追加できます。
Pull Request に投稿された検出結果には、その Pull Request の GitHub 上の 閲覧範囲が引き継がれます。Pull Request を閲覧できるユーザーは誰でも検出結果を閲覧でき、 公開リポジトリの場合や、ワークスペース外のコントリビューターによる Pull Request も 例外ではありません。Pull Request のコメントが広く公開される可能性があるリポジトリでは、 報告しきい値を慎重に選択してください。報告しきい値によって制御されるのは、 Codex が GitHub に投稿する内容です。Codex セキュリティレビューの完全なレポートは Codex 内に残ります。
Codex セキュリティレビューのリクエスト
Codex セキュリティレビューを手動でリクエストするには、Pull Request に次のコメントを投稿します：
@codex security review
レビューの実行中は Codex がリアクションを付け、完了すると手動レビューの 報告しきい値を満たす検出結果を Pull Request に直接投稿します。対応する Codex タスクを開き、セキュリティレポート タブを選択すると、重大度、 攻撃経路、裏付けとなる証拠、検証、修復ガイダンスを含む完全なレポートを 確認できます。報告しきい値を満たす問題がない場合、Codex は Pull Request に 検出結果を投稿しません。
関連ドキュメント
- Codex で GitHub の Pull Request をレビューする では、コードレビューと GitHub 連携について説明しています。
- Codex Security では、製品概要を説明しています。
- Codex Security クラウドのセットアップ では、リポジトリのスキャンと検出結果のレビューについて説明しています。
- 脅威モデルを改善する では、リポジトリのコンテキストを調整する方法について説明しています。