A revisão de segurança do Codex está disponível para clientes dos planos ChatGPT Enterprise, Business, Edu e Pro. O recurso não está disponível no plano Plus. As revisões de segurança consomem a franquia de uso do Codex incluída no plano ou créditos do ChatGPT.
Use a revisão de segurança para identificar problemas de segurança no diff de um pull request do GitHub e no código relacionado. O Codex usa o contexto do modelo de ameaças ou as diretrizes de segurança que você configurar e publica os problemas que atingem o nível mínimo de gravidade definido para publicação.
A revisão de código também pode identificar problemas de segurança durante a análise geral do código. Por isso, as duas revisões podem apontar o mesmo problema.
Antes de começar
Para configurar a revisão automática de segurança do Codex, você precisa de:
- Acesso à revisão de segurança do Codex no seu espaço de trabalho
- Codex Cloud configurado com um repositório do GitHub conectado
- Permissão de push ou de administrador no GitHub para configurar o repositório
É opcional ter uma verificação prévia do Codex Security.
Configurar a revisão de segurança do Codex
As configurações do repositório são compartilhadas. Qualquer alteração afeta todos os pull requests selecionados pela política de Revisão do repositório, inclusive os de outros colaboradores. Suas preferências pessoais se aplicam aos seus pull requests quando o repositório está configurado para seguir as preferências pessoais.
- Acesse as configurações do Codex e escolha um repositório.
- Em Revisar vulnerabilidades de segurança, ative Revisão automática de segurança.
- Em Revisão, escolha quais pull requests passam pela revisão de segurança do Codex:
- Seguir preferências pessoais permite que cada colaborador ative a revisão de segurança do Codex nas próprias configurações.
- Todos os PRs inclui todos os pull requests do repositório.
- PRs da equipe, quando disponível, inclui os pull requests abertos por membros do seu espaço de trabalho do ChatGPT. A participação em uma equipe do GitHub não é o critério usado.
- Em Gatilho, escolha quando executar a revisão de segurança do Codex:
- Ao abrir um PR inicia a revisão de segurança de forma independente assim que um pull request é aberto.
- A cada push inicia a revisão de segurança de forma independente após o envio de novos commits.
- Sempre que a revisão de código for executada exige que a revisão de código esteja ativada e executa a revisão de segurança do Codex junto com ela.
Conectar o GitHub ou ativar revisões pessoais para outro colaborador não gera uma solicitação adicional de revisão dos seus pull requests. As configurações do repositório e as preferências pessoais determinam se haverá uma revisão automática. O Codex não cria uma revisão por usuário conectado. Novos pushes podem iniciar outra revisão, dependendo da opção escolhida em Gatilho, e você pode solicitar revisões adicionais manualmente.
Adicionar contexto do modelo de ameaças
Você pode configurar um modelo de ameaças para dar ao Codex contexto sobre os ativos do aplicativo, os limites de confiança, as premissas de segurança e os riscos específicos do repositório. Se o repositório já tiver uma verificação do Codex Security configurada, você poderá usar o modelo de ameaças dessa configuração. Caso contrário, informe o caminho de um arquivo de modelo de ameaças versionado no repositório. Se você não especificar uma fonte, o Codex gerará um novo modelo de ameaças a cada revisão.
Definir a gravidade mínima para publicação
Por padrão, as revisões automáticas de segurança do Codex publicam problemas de gravidade Alta e Crítica. As revisões solicitadas manualmente publicam problemas de gravidade Média, Alta e Crítica. Você pode definir níveis mínimos de gravidade diferentes para revisões automáticas e manuais e especificar exceções por caminho.
Os problemas publicados em um pull request têm a mesma visibilidade que ele no GitHub. Qualquer pessoa que possa visualizar o pull request também poderá ver esses problemas. Isso vale inclusive para repositórios públicos e para pull requests de colaboradores de fora do seu espaço de trabalho. A gravidade mínima determina o que o Codex publica no GitHub. O relatório completo da revisão de segurança fica disponível no Codex.
Solicitar uma revisão de segurança do Codex
Para solicitar manualmente uma revisão de segurança do Codex, adicione este comentário a um pull request:
@codex security review
O Codex adiciona uma reação ao comentário enquanto a revisão está em andamento. Em seguida, publica diretamente no pull request os problemas que atingem a gravidade mínima definida para revisões manuais. Abra a tarefa correspondente no Codex e selecione a aba Relatório de segurança para ver o relatório completo, que inclui a gravidade, o caminho de ataque, as evidências, a validação e as orientações para correção. Se nenhum problema atingir a gravidade mínima, o Codex não publicará problemas no pull request. Se não houver comentários com resultados, confira o status da tarefa e o relatório completo antes de concluir que a revisão terminou sem identificar problemas.
Documentação relacionada
- Revisar pull requests do GitHub com o Codex explica como funcionam a revisão de código e a integração com o GitHub.
- Codex Security apresenta uma visão geral do produto.
- Configurar o Codex Security na nuvem explica como verificar repositórios e revisar os problemas identificados.
- Aprimorar o modelo de ameaças explica como ajustar o contexto do repositório.