Codex Security cloud 常见问题
本常见问题解答涵盖 Codex Security cloud。有关在 Codex 任务中运行的本地扫描和工作流，请参阅 Codex Security 插件快速入门。
什么是 Codex Security？
Section titled “什么是 Codex Security？”软件安全仍然是工程领域最困难、最重要的问题之一。Codex Security 是一个由 LLM 驱动的安全分析工具包，可检查源代码，并返回结构化、按优先级排序的漏洞发现项以及建议的补丁。它可以帮助开发者和安全团队大规模发现并修复安全问题。
为什么这很重要？
Section titled “为什么这很重要？”软件是现代工业和社会的基础，而漏洞会造成系统性风险。Codex Security 支持以防御者为先的工作流，持续识别可能存在的问题，并在可能的情况下进行验证和提出修复方案。这有助于团队提升安全性，同时不会拖慢开发进度。
Codex Security 解决什么业务问题？
Section titled “Codex Security 解决什么业务问题？”Codex Security 缩短了从疑似问题到确认且可复现的发现项之间的路径，并提供证据和建议的补丁。与单独使用传统扫描器相比，这可以减少分类处理工作量并降低误报率。
Codex Security 如何工作？
Section titled “Codex Security 如何工作？”Codex Security 在临时隔离容器中运行分析，并临时克隆目标代码库。它会执行代码级分析，并返回结构化的发现项，其中包括描述、文件和位置、严重程度、根本原因以及建议的修复措施。
对于包含验证步骤的发现项，系统会在同一沙箱中执行建议的命令或测试，记录成功或失败、退出代码、stdout、stderr、测试结果以及生成的差异或构件，并将这些输出作为供审查的证据附加到发现项中。
它会取代 SAST 吗？
Section titled “它会取代 SAST 吗？”不会。Codex Security 是对 SAST 的补充。它增加了基于语义的 LLM 推理和自动验证，而现有的 SAST 工具仍可提供广泛的确定性覆盖。
什么是分析流水线？
Section titled “什么是分析流水线？”Codex Security 遵循分阶段的流水线：
- 分析 为代码库构建威胁模型。
- 提交扫描 检查已合并的提交和代码库历史记录，查找可能存在的问题。
- 验证 尝试在沙箱中复现可能存在的漏洞，以减少误报。
- 打补丁 与 Codex 集成，提出补丁供审查者检查，然后再创建 PR。
它可以与 GitHub、Codex 以及标准审查工作流中的工程师协同工作。
支持哪些语言？
Section titled “支持哪些语言？”Codex Security 与语言无关。实际上，其性能取决于模型对代码库所使用语言和框架的推理能力。
扫描完成后会得到哪些输出？
Section titled “扫描完成后会得到哪些输出？”你会得到按优先级排序的发现项，其中包括严重程度、验证状态，以及可用时提供的建议补丁。发现项还可能包含崩溃输出、复现证据、调用路径上下文和相关注释。
客户代码如何隔离？
Section titled “客户代码如何隔离？”每个分析和验证任务都在具有会话级工具的临时 Codex 容器中运行。系统会提取构件供审查，并在任务完成后销毁容器。
Codex Security 会自动应用补丁吗？
Section titled “Codex Security 会自动应用补丁吗？”不会。建议补丁是一项推荐的修复措施。用户可以在发现项界面中审查补丁，并将其作为 PR 推送到 GitHub，但 Codex Security 不会自动向代码库应用更改。
扫描是否需要构建项目？
Section titled “扫描是否需要构建项目？”不需要。Codex Security 无需编译步骤，即可根据代码库和提交上下文生成发现项。在自动验证期间，如果有助于复现问题，它可能会尝试在容器内构建项目。有关环境设置的详细信息，请参阅 Codex cloud 环境。
Codex Security 如何减少误报并避免生成有问题的补丁？
Section titled “Codex Security 如何减少误报并避免生成有问题的补丁？”Codex Security 使用两个阶段。首先，模型会对可能存在的问题进行排序。然后，自动验证会尝试在干净的容器中复现每个问题。成功复现的问题会被标记为已验证，这有助于在人工审查前减少误报。
初始扫描需要多长时间，之后会发生什么？
Section titled “初始扫描需要多长时间，之后会发生什么？”初始扫描时间取决于代码库大小、构建时间以及进入验证阶段的发现项数量。对于某些代码库，扫描可能需要数小时。对于更大的代码库，可能需要数天。后续扫描通常会更快，因为它们重点关注新的提交和增量更改。
什么是威胁模型？
Section titled “什么是威胁模型？”威胁模型是扫描时针对代码库的安全上下文。它将简明的项目概览与攻击面详细信息结合起来，例如入口点、信任边界、身份验证假设和高风险组件。有关更多详细信息，请参阅 改进威胁模型。
如何生成威胁模型？
Section titled “如何生成威胁模型？”Codex Security 会提示模型总结代码库架构和安全入口点、对代码库类型进行分类、运行专用提取器，并将结果合并为项目概览或威胁模型构件，在整个扫描过程中使用。
它会取代人工安全审查吗？
Section titled “它会取代人工安全审查吗？”不会。Codex Security 可以加快审查并帮助发现项排序，但不能取代代码级验证、可利用性检查或人工威胁评估。
可以编辑威胁模型吗？
Section titled “可以编辑威胁模型吗？”可以。Codex Security 会创建初始威胁模型，你可以随着架构、风险和业务上下文的变化更新它。有关编辑工作流，请参阅 改进威胁模型。
使用威胁建模前是否需要配置扫描？
Section titled “使用威胁建模前是否需要配置扫描？”需要。威胁模型指导取决于扫描的方式和内容，因此你需要先配置代码库。请参阅 Codex Security 设置。
建议补丁包含哪些内容？
Section titled “建议补丁包含哪些内容？”如果可以为发现项生成修复措施，建议补丁会包含一个最小且可操作的差异，以及文件名和行上下文。
补丁会直接修改我的 PR 分支吗？
Section titled “补丁会直接修改我的 PR 分支吗？”不会。该工作流会生成差异、补丁文件或建议的更改，供维护者和审查者在应用前检查。
什么是自动验证？
Section titled “什么是自动验证？”自动验证是尝试在隔离容器中复现疑似问题的阶段。它会记录复现成功或失败的结果，并捕获日志、命令和相关构件作为证据。
如果验证失败会发生什么？
Section titled “如果验证失败会发生什么？”该发现项会保持未验证状态。日志和报告仍会记录已尝试的操作，以便工程师重试、进一步调查或调整复现步骤。