Configuração do Codex Security na nuvem

Esta página orienta você desde o acesso inicial até a revisão das constatações e a criação de pull requests de correção no Codex Security na nuvem.

1. Acesso e ambiente

O Codex Security na nuvem verifica repositórios do GitHub conectados por meio do Codex Cloud.

• Confirme se seu workspace tem acesso ao Codex Security na nuvem.
• Confirme se o repositório que você quer verificar está disponível no Codex Cloud.

Acesse Ambientes do Codex e verifique se o repositório já tem um ambiente. Caso contrário, crie um nessa página antes de continuar.

CodexCodeSecurityAppDocsJSPRO

Environments

Search environmentsCreate environment

NameRepoNumber of tasksCreatorCreated at

2. Nova verificação de segurança

Quando o ambiente estiver disponível, acesse Criar uma verificação de segurança e escolha o repositório que você acabou de conectar.

O Codex Security verifica os repositórios começando pelos commits mais recentes e retrocedendo para os anteriores. Assim, ele cria e atualiza o contexto da verificação à medida que novos commits chegam.

Para configurar um repositório:

1. Selecione a organização do GitHub.
2. Selecione o repositório.
3. Selecione a branch que você quer verificar.
4. Selecione o ambiente.
5. Escolha uma janela de histórico. Janelas mais longas oferecem mais contexto, mas a verificação retroativa leva mais tempo.
6. Clique em Criar.

CodexCodeSecurityAppDocsJSPRO

Create a security scan

We’ll continuously monitor this repository for potential security issues.

Organization

RepositorySelect repository

Branch—

EnvironmentSelect environment

Lookback window1w　2w　1m　3m　∞

CancelCreate

3. As verificações iniciais podem levar algum tempo

Quando você cria a verificação, o Codex Security primeiro faz uma análise de segurança no nível dos commits em toda a janela de histórico selecionada. A verificação retroativa inicial pode levar algumas horas, especialmente em repositórios maiores ou com janelas mais longas. É normal que as constatações não apareçam imediatamente. Aguarde a conclusão da verificação inicial antes de abrir um chamado ou tentar solucionar o problema.

4. Revise as verificações e aprimore o modelo de ameaças

CodexCodeSecurityAppDocsJSPRO

Edit Pause

Security scan

567-labs/instructor

Status

Scanning...

Findings

0112019

Scanned commits

1472

Owner

Repository567-labs/instructor

Branchmain

Environment567-labs/instructor

Look-back window∞

Threat model

Overview

Instructor is a Python library that wraps multiple LLM providers (OpenAI, Anthropic, Gemini, Mistral, etc.) and converts model responses into validated Pydantic models. It patches provider client methods to accept response_model, handles schema generation, retries, and response parsing, and offers optional caching, multimodal inputs (images, audio, PDF), batch processing, and CLI tooling. It is usually embedded inside backend services, data pipelines, or scripts that forward user or document content to external LLM APIs. The library itself is not a web server, but it often runs in environments where untrusted user input influences prompts and where returned data may drive downstream automation.

Threat model, trust boundaries and assumptions

Trust boundaries

Quando a verificação inicial terminar, abra a verificação e revise o modelo de ameaças gerado. Depois que as constatações iniciais aparecerem, atualize o modelo de ameaças para que corresponda à sua arquitetura, aos limites de confiança e ao contexto de negócios. Isso ajuda o Codex Security a priorizar os issues para sua equipe.

Depois que as constatações iniciais aparecerem, revise o modelo para manter as orientações da verificação alinhadas às prioridades atuais. Mantê-lo atualizado ajuda o Codex Security a produzir sugestões melhores.

Para uma explicação mais detalhada sobre modelos de ameaças e como eles afetam a criticidade e a triagem, consulte Aprimorar o modelo de ameaças.

5. Revise as constatações e aplique correções

Após a conclusão da verificação retroativa inicial, revise as constatações na visualização Constatações .

Você pode usar duas visualizações:

• Constatações recomendadas: uma lista dinâmica dos 10 issues mais críticos do repositório
• Todas as constatações: uma tabela de constatações de todo o repositório que pode ser ordenada e filtrada

CodexCodeSecurityAppDocsJSPRO

Archive Create PR

Finding

Bedrock image URL handling enables SSRF via requests.get

ReportPatch

Severity

High

Adjust to improve accuracy in future scans

Commit

Repository

567-labs/instructor

Summary

Introduced SSRF risk by fetching user-controlled http(s) image URLs during Bedrock message conversion.

The commit adds _openai_image_part_to_bedrock and wires it into message preparation. When a message contains an OpenAI-style image_url part, the code issues requests.get() to the supplied URL and embeds the response bytes into the Bedrock request. There is no allowlist, IP filtering, or size limits, and redirects are allowed by default. If an attacker can control message content (common in services that accept user prompts), they can force the host to fetch internal URLs (e.g., metadata services or internal APIs) and exfiltrate the response bytes to the external Bedrock provider. This behavior did not exist before, as Bedrock previously rejected non-text content.

Validation

Identify http(s) fetch of image_url with requests.get without allowlist/size limit in _openai_image_part_to_bedrock.

Confirm OpenAI-style image_url parts are passed to _openai_image_part_to_bedrock in _to_bedrock_content_items.

Confirm _prepare_bedrock_converse_kwargs_internal uses _to_bedrock_content_items on message content.

Demonstrate runtime fetch of attacker-controlled URL via PoC and show bytes returned.

Assess for mitigations (scheme restriction only; no IP/allowlist).

bedrock_ssrf_poc.tar.gzDownload

Evidence

Clique em uma constatação para abrir a página de detalhes correspondente, que inclui:

• uma descrição concisa do issue
• metadados importantes, como detalhes do commit e caminhos de arquivos
• raciocínio contextual sobre o impacto
• trechos de código relevantes
• contexto do caminho de chamadas ou do fluxo de dados, quando disponível
• etapas e saída da validação

Você pode revisar cada constatação e criar um PR diretamente na página de detalhes da constatação.

Documentação relacionada

• Codex Security apresenta uma visão geral do produto.
• A página Perguntas frequentes sobre o Codex Security na nuvem aborda dúvidas comuns sobre a nuvem.
• A página Aprimorar o modelo de ameaças explica como aprimorar o contexto da verificação e a priorização das constatações.