借助 Daybreak 扩展网络防御能力

当你在安全待办列表中发现一个可能的问题时，你仍需确定它是否影响你的软件、收集证据并落实一个安全的修复。随着代码、警报和漏洞报告不断涌入，这项工作会变得更加困难。

我们最近增加了更多通过 ChatGPT、Codex Security 和开源 Codex Security CLI 来处理该流程的方式。你可以在拉取请求合并前对其进行审查，调查代码仓库或现有的漏洞待办列表，并在 CI 中添加定期检查。这些功能是 OpenAI Daybreak 的一部分，它为经过批准的防御者汇集了模型、安全工具、负责任的访问权限和安全生态系统。

在先前报告的结果中，Codex Security Cloud 已分析了超过 30,000 个代码仓库中的 3,000 万次提交。以下是我选择起点、收集证据并审查修复的方法，同时确保访问权限范围受限，且由人来负责重大决策。

请根据你的组织、用例、风险状况和数据处理实践调整这些工作流。选择适合你环境的配置、保障措施和部署方式。

从 ChatGPT 中的调查开始

如果你已经有一段日志摘录、一份安全公告或一个事件时间线，ChatGPT 是开始对其进行推理的有用起点。可以尝试以下几件事：

调查一段可疑的日志摘录，并识别出仍缺失哪些证据。
总结一份漏洞安全公告，并梳理其对你系统的潜在影响。
重构一个事件时间线或起草一条检测规则。
为一个新功能准备威胁模型，并比较各种修复方案。
将一项技术发现转化为给工程团队或领导层的指导。

核查底层证据，遵循你组织的数据处理政策，并决定采取什么行动。当你需要检查代码仓库、拉取请求、安全待办列表或提议的补丁时，请使用 Codex Security。

在代码合并前审查安全问题

Codex Security Review 将专注的安全分析引入 GitHub 拉取请求，因此当你已经在 GitHub 上审查变更时，它是一个自然的起点。一旦你的工作区获得访问权限并连接了代码仓库，你就可以通过评论来请求审查：

@codex security review

如果这符合你团队的工作流，可以在拉取请求开启时、每次推送后，或每当现有的 Codex 代码审查运行时，配置自动审查。代码仓库威胁模型或其他安全指导在这里很有用：它有助于审查考虑到你应用的资产、信任边界和假设。

Codex 会考虑拉取请求的差异（diff）和相关的代码仓库上下文。关联的 Codex 任务的安全报告包含严重性、支持证据、攻击路径、验证详情和修复指导。请检查报告阈值：发布到 GitHub 的发现会继承拉取请求的可见性。

Illustration of a security review identifying an authorization bypass and showing a proposed patch for review. — 拉取请求审查将一项发现与证据和提议的修复联系起来。示意性界面。

Codex Security Review 适用于 ChatGPT Enterprise、Business、Edu 和 Pro 账户。

使用 Codex Security 调查代码仓库

当问题超出单个拉取请求的范围时，Codex Security 插件可以评估整个仓库、某个组件、分支、提交或本地更改。对于首次评估或例行审查，我会从标准扫描开始。对于关键系统或限定范围的目录，深度扫描更为合适，因为更广泛、重复的分析值得投入更多时间和计算资源。

安全工作台将扫描、发现的问题和仓库整合到 Codex 桌面体验中。在接受某个发现之前，请查看其来源证据、严重程度、置信度、攻击路径和覆盖范围。你还可以比较不同运行中的发现，并将已接受的发现推进到建议的补丁阶段。

Illustration of scan setup with a repository, scan area, branch, model, deep-scan option, and threat model. — 选择仓库、范围和威胁模型，然后开始扫描。示意性界面。

最近的工作台更新显示实时扫描阶段、已审查的文件、活跃的工作进程、已用时间和实测的令牌用量。中断的深度扫描可以恢复，无需重复已完成的工作，可重用的摘要也减少了开销。

让重要仓库保持持续审查

如果某个仓库需要持续关注，请从插件市场安装 Codex Security Cloud 并连接你的 GitHub 仓库。选择 Repository 可进行一次性扫描，选择 Commit changes 可进行持续监控。选择一个 Codex 云环境，然后在插件中查看扫描进度和发现的问题。

在可行的情况下，疑似问题会在隔离环境中进行验证。请审查代码片段、调用路径、复现输出和修复建议。随着架构和优先级的变化，请保持威胁模型的更新，并在提交拉取请求之前检查建议的补丁。

Codex Security Cloud 目前处于研究预览阶段。对于较大的仓库，一次扫描可能需要数小时。启用提交监控后，Codex 会持续审查新的提交；你可以在仓库的 Monitoring settings 中更改历史窗口和威胁模型。

将现有警报转化为可操作的队列

你可能已经有大量待调查的发现。如果你的团队有静态分析结果、依赖警报、漏洞赏金报告、安全公告或工单，你可以对该积压工作进行分类，对照当前仓库进行处理，而无需再启动一次扫描。

Codex Security 可以处理 SARIF 报告、GitHub 代码扫描和 Dependabot 发现、安全公告、Jira 或 Linear 工单以及其他漏洞报告。它会审查每项声明，追踪相关的输入和代码路径，检查现有的控制措施，并说明证据是支持采取行动、表明该问题不适用，还是需要进一步审查。

这些证据有助于你聚焦于实际运行的软件所受影响的问题。我会让现有的扫描工具继续发挥作用：Codex Security 通过仓库特定的调查和适当情况下的额外验证，对确定性扫描进行补充。

从可信的发现到经过验证的修复

一旦某个发现看起来可信，下一个问题是你能否安全地修复它。对于已接受的发现，可以要求 Codex Security 准备修复方案。在安全且可行的情况下，它可以复现问题、生成有针对性的补丁，并提供证据证明该更改解决了原始问题。

在可行的情况下，工作流会添加一个回归测试，该测试在修复前失败、修复后通过。如果无法安全地创建可靠的测试，则会记录哪些内容仍未得到验证。

Illustration of an actionable finding, a proposed patch, and a regression test awaiting human review. — 现有发现将经过基于证据的分诊、经过审查的补丁以及回归验证。示意性界面。

是否应用更改的决定权仍属于工程师。检查发现和建议的差异，决定是否应用它，并验证结果。您还可以导出发现和报告，或在获得明确批准后将其纳入现有的问题管理工作流。

将安全检查集成到现有工具中

如果您更喜欢从终端、CI 流水线或内部工具进行操作，开源的Codex Security CLI 和TypeScript SDK 支持这些工作流。@openai/codex-security 包是公开的，但运行扫描需要 Codex Security 访问权限。

首次运行时，请按照CLI 前置条件和登录步骤操作，然后从您拥有或有权评估的仓库开始扫描：

npx @openai/codex-security login
npx @openai/codex-security scan .

扫描之前，请查看本地扫描权限。本地扫描使用您的操作系统权限，不会暂停等待批准。请从环境中移除无关的凭据，并将结果保存在私密位置：报告可能包含源代码片段和漏洞详情。

当本地工作流发挥作用后，您可以通过GitHub Actions 或 GitLab CI/CD 检查使其可重复。您可以审查拉取请求或合并请求、导出 SARIF、保留安全证据，并可选择在发现达到选定的严重性阈值时使检查失败。如果您正在构建自己的应用程序，TypeScript SDK 提供了扫描、进度报告、取消和成本控制功能。

Illustration of a repository security scan with threat modeling, finding validation, fix review, and a completed CI check. — 仓库分析、验证、人工审查的修复和 CI 检查构成一个工作流。示意性界面。

扫描多个仓库和大型代码库

当同一审查需要覆盖一组仓库时，CLI 的批量扫描工作流是一个有用的下一步。您可以从已授权的 GitHub 账户或组织中发现仓库，或者准备一个CSV 清单，其中包含仓库 URL 或本地路径、固定修订版、可选范围以及每个目标的标准或深度扫描模式。

准备好清单后，使用位于仓库之外的私有输出目录运行活动：

npx @openai/codex-security bulk-scan repositories.csv \
  --output-dir /path/outside/repositories/security-portfolio \
  --workers 4 --max-attempts 3

活动会为每个仓库分别保留进度和结果。您可以恢复中断的工作、调整并发和重试、提供共享的架构文档或安全策略，并保留发现、覆盖率和可移植的 SARIF 结果。支持的模型、推理力度、扫描深度和预估成本限制让您可以选择每个目标需要多少分析。请将预估成本限制视为估算值，而非硬性支出上限。

对于大型 monorepo，我会将首次扫描的范围限定在一个拥有的服务、包或其他有意义的安全边界。先进行标准扫描，然后有选择地对敏感服务或复杂组件应用深度扫描。对于已连接的 GitHub 仓库，Codex Security Cloud 可以审查选定的提交历史窗口，并继续审查新提交。

将首次活动作为基线。更新威胁模型，在现有系统中跟踪发现，并验证已审查的修复，以使该过程可重复。

与您已经在使用的安全生态系统协作

Codex Security 可与现有的扫描器、漏洞管理系统、问题追踪系统、服务提供商和开源项目协同工作。你可以导入现有发现结果、导出可移植的结果，并将经过审查的问题回传到这些工作流中。

通过 OpenAI Daybreak，我们还与安全组织、研究人员、开源维护者和合作伙伴合作，使模型辅助防御在更多工具和服务中可用。高级网络能力仅限于执行授权工作的获批用户使用，并配有与活动相匹配的安全保障措施。

使访问权限和安全保障与工作相匹配

大多数防御工作可以从通用模型和 Codex Security 开始。对于获批的防御人员，Daybreak Blue 支持授权工作，例如漏洞分类、恶意软件分析、检测工程、安全调查和补丁验证。Daybreak Red 适用于更窄范围的专业授权活动，包括高级漏洞研究、受控漏洞利用验证和红队演练。它需要单独的审批和安全保障措施。

使用当前模型和可信访问指南来选择合适的产品，并确认你的身份、工作区或 API 组织、模型和产品界面已获批准。访问审批不会为你配置环境。请定义范围内的系统和操作，在适当情况下使用最小权限和隔离执行，并对重大决策保留人工审查。

选择起点

如果你在决定先尝试什么，我会从团队已有工作的地方开始：

打开 ChatGPT 进行初步调查。
安装 Codex Security 插件以评估代码仓库或对现有待办事项进行分类。
配置 Codex Security Review以在拉取请求合并前进行检查。
将代码仓库连接到 Codex Security Cloud以进行持续分析。
探索 CLI和 TypeScript SDK，将检查集成到现有工具中。
查看网络领域的可信访问和 OpenAI Daybreak，了解高级授权工作。

无论你尝试哪种工作流，都要确认风险是否真实存在、检查证据、审查建议的更改并验证修复。