Codex Security Cloud ищет уязвимости при закрытом ноутбуке

OpenAI обновила плагин Codex Security Cloud. Главное изменение: в него по умолчанию входит доступ к киберспособным моделям через Daybreak Blue, сообщила компания в X 29 сентября. Daybreak - программа киберзащиты OpenAI, которую в сентябре открыли и правительству Украины.

Плагин сканирует репозитории GitHub целиком, проверяет каждый новый коммит, сам перепроверяет находки и убирает дубли, а потом готовит исправления на ревью. Работает он в облачном окружении Codex, поэтому сканы идут и при закрытом ноутбуке.

Плагин доступен в десктопном и веб-Codex. Ставится он через раздел Plugins в ChatGPT: в маркетплейсе нужно найти Codex Security Cloud, установить и включить, после чего Security Cloud появится среди установленных плагинов или в боковой панели. В воркспейсе должен быть настроен Codex cloud. Если плагин недоступен, документация отправляет к администратору воркспейса.

Первый скан запускается кнопкой New scan. Плагин попросит подключить GitHub и выдать доступ к нужным репозиториям. Дальше выбираете репозиторий и совместимое облачное окружение, а если его нет, создаёте через Create environment. В поле What to scan по умолчанию стоит Repository, это полный скан. Ход проверки, находки и артефакты видны во вкладке Scans.

У каждой находки в разделе Findings есть затронутый код, доказательства, которыми модель подтвердила уязвимость, и рекомендации по исправлению. Если рядом есть кнопка Fix with Codex, она сгенерирует патч. Черновой pull request создаётся кнопкой Create draft pull request, и только после того, как вы этот патч просмотрите.

Для постоянного слежения нужен второй скан: тот же New scan, но в What to scan выбирается Commit changes. Настройки лежат в Repositories, в разделе Monitoring settings у конкретного репозитория. Там можно сменить облачное окружение, задать, за сколько дней проверять историю, и поставить слежение на паузу.

Ещё плагин сам генерирует модель угроз: описание того, что в проекте стоит защищать и откуда может прийти атака. Её можно отредактировать в разделе Project context и сохранить. От неё зависят контекст сканов и то, какие находки окажутся в приоритете. Как её дорабатывать, OpenAI объясняет в отдельном руководстве Improving the threat model.