什么是 Codex Security？
Section titled “什么是 Codex Security？”软件安全仍然是工程领域最困难也最重要的问题之一。Codex Security 是一个基于 LLM 的安全分析工具集，它检查源代码并返回结构化的、按严重程度排序的漏洞发现结果以及建议修复补丁。它帮助开发人员和安全团队大规模地发现和修复安全问题。
为什么它很重要？
Section titled “为什么它很重要？”软件是现代工业和社会的基石，而漏洞会产生系统性风险。Codex Security 通过持续识别可能存在的问题、尽可能验证它们并提出修复方案，支持以防御者优先的工作流程。这帮助团队在不减缓开发速度的情况下提升安全性。
Codex Security 解决什么业务问题？
Section titled “Codex Security 解决什么业务问题？”Codex Security 缩短了从可疑问题到确认的、可复现的发现结果（附带证据和建议补丁）的路径。与单独使用传统扫描工具相比，这减少了分类工作量并降低了误报率。
Codex Security 如何工作？
Section titled “Codex Security 如何工作？”Codex Security 在临时的隔离容器中运行分析，并临时克隆目标仓库。它执行代码级分析并返回结构化的发现结果，包括描述、文件和位置、严重程度、根本原因以及建议的修复方案。
对于包含验证步骤的发现结果，系统在同一个沙箱中执行建议的命令或测试，记录成功或失败、退出代码、stdout、stderr、测试结果以及任何生成的差异或产物，并将这些输出作为审查证据附加。
它会取代 SAST 吗？
Section titled “它会取代 SAST 吗？”不会。Codex Security 是对 SAST 的补充。它增加了基于 LLM 的语义推理和自动验证，而现有的 SAST 工具仍然提供广泛的确定性覆盖。
分析流水线是什么？
Section titled “分析流水线是什么？”Codex Security 遵循分阶段流水线：
- 分析 — 为仓库构建威胁模型。
- 提交扫描 — 审查已合并的提交和仓库历史，查找可能的问题。
- 验证 — 在沙箱中尝试复现可能的漏洞，以减少误报。
- 补丁 — 与 Codex 集成以提出修复补丁，审查者可以在开启 PR 之前检查。
它与工程师在 GitHub、Codex 和标准审查工作流程中协同工作。
支持哪些语言？
Section titled “支持哪些语言？”Codex Security 是语言无关的。实际效果取决于模型对仓库所用语言和框架的推理能力。
扫描完成后我能得到什么输出？
Section titled “扫描完成后我能得到什么输出？”你会得到按严重程度排序的发现结果，包括验证状态和可用时的建议补丁。发现结果还可以包括崩溃输出、复现证据、调用路径上下文和相关注释。
客户代码如何隔离？
Section titled “客户代码如何隔离？”每个分析和验证作业都在带有会话范围工具的临时 Codex 容器中运行。产物被提取以供审查，作业完成后容器会被销毁。
Codex Security 会自动应用补丁吗？
Section titled “Codex Security 会自动应用补丁吗？”不会。建议补丁是一个推荐的修复方案。用户可以从发现结果界面审查并将其作为 PR 推送到 GitHub，但 Codex Security 不会自动将更改应用到仓库。
扫描需要先构建项目吗？
Section titled “扫描需要先构建项目吗？”不需要。Codex Security 可以在没有编译步骤的情况下从仓库和提交上下文中产生发现结果。在自动验证期间，如果有助于复现问题，它可能会尝试在容器内构建项目。有关环境设置详细信息，请参阅 Codex 云环境。
Codex Security 如何减少误报并避免错误的补丁？
Section titled “Codex Security 如何减少误报并避免错误的补丁？”Codex Security 使用两个阶段。首先，模型对可能的问题进行排序。然后自动验证尝试在干净的容器中复现每个问题。成功复现的发现结果被标记为已验证，这有助于在人工审查之前减少误报。
初始扫描需要多长时间，之后会发生什么？
Section titled “初始扫描需要多长时间，之后会发生什么？”初始扫描时间取决于仓库大小、构建时间以及进入验证阶段的发现结果数量。对于某些仓库，扫描可能需要几个小时。对于较大的仓库，可能需要数天。后续扫描通常更快，因为它们只关注新的提交和增量更改。
什么是威胁模型？
Section titled “什么是威胁模型？”威胁模型是仓库扫描时的安全上下文。它结合了简明的项目概述和攻击面细节，如入口点、信任边界、认证假设和风险组件。更多细节请参阅改进威胁模型。
威胁模型是如何生成的？
Section titled “威胁模型是如何生成的？”Codex Security 提示模型总结仓库架构和安全入口点，分类仓库类型，运行专门的提取器，并将结果合并为在整个扫描过程中使用的项目概述或威胁模型产物。
它会取代人工安全审查吗？
Section titled “它会取代人工安全审查吗？”不会。Codex Security 加速审查并帮助对发现结果进行排序，但它不会取代代码级验证、可利用性检查或人工威胁评估。
我可以编辑威胁模型吗？
Section titled “我可以编辑威胁模型吗？”可以。Codex Security 创建初始威胁模型，你可以随着架构、风险和业务上下文的变化更新它。有关编辑工作流程，请参阅改进威胁模型。
在使用威胁建模之前需要配置扫描吗？
Section titled “在使用威胁建模之前需要配置扫描吗？”需要。威胁模型指导与你扫描的方式和内容相关联，因此你需要先配置仓库。请参阅 Codex Security 设置。
建议补丁包含什么？
Section titled “建议补丁包含什么？”建议补丁包含一个最小的可操作差异，具有文件名和行上下文，前提是可以为该发现结果生成修复方案。
补丁会直接修改我的 PR 分支吗？
Section titled “补丁会直接修改我的 PR 分支吗？”不会。工作流程生成差异、补丁文件或建议更改，供维护者和审查者在应用之前检查。
什么是自动验证？
Section titled “什么是自动验证？”自动验证是在隔离容器中尝试复现可疑问题的阶段。它记录复现是否成功或失败，并捕获日志、命令和相关产物作为证据。
如果验证失败会怎样？
Section titled “如果验证失败会怎样？”发现结果保持未验证状态。日志和报告仍然会捕获尝试的内容，以便工程师重试、进一步调查或调整复现步骤。