Execute o Codex Security no ambiente de CI para revisar alterações em pull requests ou merge requests, fazer varreduras na branch padrão e guardar os achados e os dados de cobertura. Consulte o guia do seu provedor de CI para saber como configurar o fluxo de trabalho, lidar com os relatórios e aplicar políticas.
Prepare o fluxo de trabalho
Para executar varreduras, é preciso ter acesso ao Codex Security. Armazene uma chave de API da OpenAI no gerenciador de segredos do seu provedor de CI com o nome CODEX_SECURITY_API_KEY. Depois, use esse segredo como valor da variável de ambiente OPENAI_API_KEY do processo de varredura.
Execute varreduras apenas em repositórios e alterações em que você confia. As varreduras usam as permissões locais do runner e prosseguem sem aguardar aprovação. Mantenha credenciais que não são usadas na varredura e etapas de implantação em jobs separados.
Use um modelo Daybreak aprovado
Para acessar o Daybreak Blue pelo programa Trusted Access for Cyber, defina o parâmetro model da GitHub Action como gpt-6-sol e o parâmetro cyber-access-program como daybreak_blue. Para executar varreduras diretamente pela CLI, use --model gpt-6-sol e --cyber-access-program daybreak_blue.
Use uma chave de API de um projeto que tenha o Daybreak Blue habilitado e acesso ao modelo selecionado. Configurar o modelo ou o programa não concede acesso. Para consultar as configurações da GitHub Action, veja Como configurar o acesso opcional ao Daybreak.
Escolha uma integração
Adicione o fluxo de trabalho do GitHub Actions
Siga o guia do GitHub Actions para configurar verificações de pull requests e agendar varreduras do repositório. A ação do Codex Security instala a CLI, salva os relatórios e adiciona um resumo do job e anotações no código-fonte. O guia explica como configurar o runner e o acesso opcional ao Daybreak, enviar relatórios SARIF e aplicar a política de gravidade.
Adicione o pipeline do GitLab CI/CD
Siga o guia do GitLab CI/CD para configurar varreduras em merge requests e na branch padrão, além de varreduras agendadas. Comece com um pipeline que execute apenas a varredura. Depois, configure o processamento de relatórios, a aplicação de políticas e, se desejar, a correção com verificação.
Use outro sistema de CI
Instale o pacote público @openai/codex-security e execute a CLI diretamente. Use --auth api-key, escolha entre fazer uma varredura do repositório ou das diferenças entre revisões e salve a saída em um diretório privado fora da árvore de trabalho do Git. O runner deve fornecer as dependências descritas no guia de início rápido da CLI.
Consulte a referência da CLI para conhecer as opções de varredura, saber como especificar as revisões a comparar e verificar os formatos de relatório, os diretórios de estado e de saída e o comportamento em novas tentativas.
Escolha uma política de gravidade
Comece usando os resultados apenas para orientação. Analise uma amostra representativa dos achados, a cobertura da varredura, o custo e o tempo de execução antes de decidir quais resultados devem bloquear um merge.
Avalie os achados e verifique se a varredura foi completa. A política de gravidade considera os achados da varredura atual cuja gravidade é igual ou superior ao limite configurado. Achados anteriores que continuam em aberto no resumo do repositório não afetam essa política. Uma varredura incompleta pode deixar áreas sem revisão mesmo que não relate nenhum achado.
Na versão action-v0.3.0 da GitHub Action, uma varredura concluída indica que a análise configurada produziu um resultado válido. A política de gravidade continua valendo mesmo quando há exclusões de escopo, investigações adiadas ou outras observações sobre a cobertura. Erros na ferramenta de varredura ou na geração dos relatórios obrigatórios fazem o job falhar. A CLI 0.3.0 retorna o código de saída 2 quando há falhas na entrada, na execução, na integridade do resultado ou na geração de uma saída obrigatória. Consulte coverage.json ao avaliar o resultado. A conclusão da varredura não garante que todas as vulnerabilidades tenham sido encontradas.
Configure a aplicação da política seguindo o guia do GitHub Actions ou o guia do GitLab CI/CD. Para integrações diretas com a CLI, consulte a seção sobre aplicação da política de gravidade e códigos de saída.