ChatGPT Enterprise, Business, Edu, Pro 고객은 Codex Security 검토를 이용할 수 있습니다. Plus에서는 제공되지 않습니다. 보안 검토를 실행하면 요금제에 포함된 Codex 사용량이나 ChatGPT 크레딧이 차감됩니다.
보안 검토를 사용하면 GitHub pull request의 변경 사항과 관련 코드에 보안 이슈가 있는지 확인할 수 있습니다. 위협 모델 컨텍스트나 보안 지침을 설정해 두면 Codex가 이를 검토에 반영하고, 보고 기준을 충족하는 보안 이슈를 pull request에 게시합니다.
코드 검토에서도 코드를 전반적으로 검토하면서 보안 이슈를 보고할 수 있으므로 두 검토에서 같은 이슈를 보고할 수 있습니다.
시작하기 전에
Codex Security 검토가 자동으로 실행되도록 설정하려면 다음 조건을 충족해야 합니다.
- 워크스페이스에서 Codex Security 검토를 이용할 수 있어야 합니다.
- Codex Cloud를 설정하고 GitHub 리포지터리를 연결해야 합니다.
- 리포지터리 설정을 변경할 수 있는 GitHub 푸시 권한이나 관리자 권한이 있어야 합니다.
기존 Codex Security 스캔은 선택 사항입니다.
Codex Security 검토 설정하기
리포지터리 설정은 모든 기여자에게 공통으로 적용됩니다. 설정을 변경하면 본인의 pull request뿐 아니라 리포지터리의 검토 정책에 따라 선택된 모든 pull request에 영향을 줍니다. 리포지터리가 개인 설정을 따르는 경우에는 본인의 pull request에 본인의 설정이 적용됩니다.
- Codex 설정으로 이동해 리포지터리를 선택하세요.
- 보안 취약점 검토 항목에서 자동 보안 검토를 켜세요.
- 검토 항목에서 Codex Security 검토를 실행할 pull request를 선택하세요.
- 개인 설정 따르기 옵션을 선택하면 각 기여자가 개인 설정에서 Codex Security 검토를 사용할지 결정할 수 있습니다.
- 모든 PR 옵션은 리포지터리의 모든 pull request에 적용됩니다.
- 팀 PR 옵션이 제공되는 경우, 이 옵션은 ChatGPT 워크스페이스 멤버가 연 pull request에 적용됩니다. GitHub 팀 소속 여부는 기준이 아닙니다.
- 트리거 항목에서 Codex Security 검토를 실행할 시점을 선택하세요.
- PR을 열 때 옵션을 선택하면 pull request를 열 때 보안 검토가 독립적으로 실행됩니다.
- 푸시할 때마다 옵션을 선택하면 새 커밋을 푸시할 때마다 보안 검토가 독립적으로 실행됩니다.
- 코드 검토를 실행할 때마다 옵션을 사용하려면 코드 검토를 활성화해야 합니다. 코드 검토가 실행될 때 Codex Security 검토도 함께 실행됩니다.
GitHub를 연결하거나 다른 기여자의 개인 검토를 켜도 본인의 pull request에 대한 검토가 추가로 요청되지는 않습니다. 리포지터리 설정과 개인 설정은 자동 검토의 실행 여부를 결정합니다. 연결된 사용자 수만큼 검토를 실행하지는 않습니다. 이후 커밋을 푸시하면 트리거 설정에 따라 검토가 다시 실행될 수 있으며, 추가 검토를 수동으로 요청할 수도 있습니다.
위협 모델 컨텍스트 추가하기
위협 모델을 설정하면 애플리케이션의 자산, 신뢰 경계, 보안상 전제 조건, 리포지터리별 위험 요소에 관한 컨텍스트를 Codex에 제공할 수 있습니다. 리포지터리에 기존 Codex Security 스캔 설정이 있으면 해당 설정의 위협 모델을 사용할 수 있습니다. 그렇지 않으면 리포지터리에 커밋한 위협 모델 파일의 경로를 지정하세요. 위협 모델의 출처를 지정하지 않으면 Codex가 검토할 때마다 위협 모델을 새로 생성합니다.
보고 기준 설정하기
기본적으로 Codex Security 자동 검토는 심각도가 높음 또는 치명적인 보안 이슈를 보고합니다. 수동으로 요청한 검토는 중간, 높음, 치명적 등급의 보안 이슈를 보고합니다. 자동 검토와 수동 검토의 최소 심각도를 각각 변경하고, 특정 경로에 별도 기준을 적용할 수 있습니다.
pull request에 게시한 보안 이슈에는 해당 pull request의 GitHub 공개 범위가 그대로 적용됩니다. 공개 리포지터리의 pull request나 워크스페이스 외부 기여자가 연 pull request도 마찬가지로, 해당 pull request를 볼 수 있는 사람은 누구나 게시된 보안 이슈를 볼 수 있습니다. 보고 기준은 Codex가 GitHub에 게시할 보안 이슈를 결정합니다. Codex Security 검토의 전체 보고서는 Codex에서 계속 확인할 수 있습니다.
Codex Security 검토 요청하기
Codex Security 검토를 수동으로 요청하려면 pull request에 다음 댓글을 추가하세요.
@codex security review
검토가 진행되는 동안 Codex는 요청 댓글에 반응을 표시합니다. 검토를 마치면 수동 검토의 보고 기준을 충족하는 보안 이슈를 pull request에 직접 게시합니다. 관련 Codex 작업을 열고 보안 보고서 탭을 선택하면 심각도, 공격 경로, 판단 근거, 검증 결과, 해결 지침을 포함한 전체 보고서를 볼 수 있습니다. 보고 기준을 충족하는 보안 이슈가 없으면 Codex는 pull request에 보안 이슈를 게시하지 않습니다. 결과 댓글이 없을 때는 검토가 완료되었고 발견된 보안 이슈가 없다고 판단하기 전에 작업 상태와 전체 보고서를 확인하세요.
관련 문서
- Codex로 GitHub pull request 검토하기에서 코드 검토와 GitHub 연동 방식을 확인할 수 있습니다.
- Codex Security에서 제품 개요를 확인할 수 있습니다.
- Codex Security 클라우드 설정에서 리포지터리를 스캔하고 보안 이슈를 검토하는 방법을 확인할 수 있습니다.
- 위협 모델 개선하기에서 리포지터리 컨텍스트를 조정하는 방법을 확인할 수 있습니다.