排查安全常見問題
用 FAQ 方式理解 Codex Security 的定位、掃描流程、隔離邊界、驗證結果和人工審查責任。
Codex Security 可以幫助團隊發現、驗證和修復安全風險，但它不是人工安全審查或現有 SAST 的替代品。它更適合做規模化分診、證據收集和補丁建議。
安全 finding 不能只看“模型說有問題”。必須看證據、復現、影響範圍、可利用性、補丁風險和人工審查結論。
Codex Security
檢視 Codex Security 的官方入口和當前功能說明。
Security setup
瞭解如何為儲存庫配置 Codex Security。
Threat model
學習如何改進儲存庫的 threat model。
它解決什麼問題
Codex Security 主要解決三類問題：
- 在大量程式碼和提交中發現潛在漏洞。
- 對疑似漏洞進行驗證，減少誤報。
- 給出結構化 finding 和建議補丁，幫助團隊進入 review。
它適合安全團隊和工程團隊協作使用。模型可以縮短分診路徑，但最終判斷仍要由人負責。
基本工作流
flowchart LR
Repo["連線儲存庫"] --> Model["建立 threat model"]
Model --> Scan["掃描程式碼和提交"]
Scan --> Verify["嘗試自動驗證"]
Verify --> Finding["生成 finding"]
Finding --> Review["人工審查"]
Review --> Patch["接受、修改或拒絕補丁"]關鍵點：
- 分析執行在隔離環境中。
- findings 會包含嚴重程度、位置、根因和證據。
- 可驗證的問題會嘗試復現。
- 建議補丁需要人工審查後再進入儲存庫。
常見問題
它能替代 SAST 嗎
不能。Codex Security 是補充層。
傳統 SAST 擅長規則化、覆蓋面廣、可重複檢查。Codex Security 擅長語義分析、上下文理解、驗證嘗試和修復建議。兩者應該組合使用。
它會自動改儲存庫嗎
不會把補丁直接應用到你的儲存庫。建議補丁只是待審查產物。維護者應在 PR、diff 或 suggested change 中審查後再決定是否合入。
掃描前必須能構建專案嗎
不一定。它可以基於程式碼和提交上下文產出 findings。需要驗證時，系統可能嘗試構建或執行相關命令。
如果專案構建依賴複雜環境，應優先配置 cloud environment 和 setup steps。
自動驗證失敗怎麼辦
驗證失敗不等於問題不存在。它說明系統沒有在當前環境中成功復現。
處理方式：
- 檢視驗證日誌。
- 檢查環境是否缺依賴。
- 補充更準確的復現步驟。
- 由工程師手動確認可利用性。
Threat model 有什麼用
Threat model 給掃描提供安全上下文，例如入口點、信任邊界、認證假設和高風險元件。
儲存庫架構變化後，threat model 也要更新。過期 threat model 會影響 finding 質量。
它能替代人工安全審查嗎
不能。它能提高覆蓋和分診效率，但安全責任仍在人。
人工審查需要確認：
- finding 是否真實。
- 影響範圍和嚴重程度。
- 是否可利用。
- 建議補丁是否正確。
- 是否引入迴歸或相容問題。
結果怎麼讀
讀 finding 時按這個順序：
- 嚴重程度和影響面。
- 檔案位置和呼叫路徑。
- 根因解釋。
- 驗證狀態。
- 復現日誌和 artifact。
- 建議補丁。
- 人工審查結論。
不要只看標題和 severity。安全問題的價值在證據鏈。
接入前檢查
配置 Codex Security 前，確認：
- 儲存庫許可權是否最小化。
- 掃描範圍是否明確。
- cloud environment 是否能構建或驗證關鍵路徑。
- secrets 是否只在必要階段可用。
- 誰負責 review findings。
- 誰負責合併或拒絕補丁。
- 如何記錄誤報、漏報和規則改進。
什麼時候升級給安全團隊
這些情況應升級：
- 涉及認證、授權、支付、金鑰或使用者資料。
- finding 已驗證且影響生產路徑。
- 建議補丁會改變安全邊界。
- 需要判斷可利用性。
- 需要合規、法務或客戶通知。
Codex Security 的作用是讓安全工作更早、更有證據，而不是讓團隊跳過審查。
排障優先順序
遇到 Codex Security 結果不符合預期時，按這個順序排查：
- Access：workspace 是否有 Codex Security 許可權，repository 是否在 Codex Cloud 可見。
- Environment：scan 使用的 environment 是否能安裝依賴、執行關鍵驗證命令。
- Initial backfill：初始掃描是否真的完成，大儲存庫是否仍在等待。
- Threat model：project overview 是否寫清入口、信任邊界、敏感資料和優先模組。
- Finding evidence：finding 是否有復現、呼叫路徑、日誌或驗證輸出。
- Patch quality：建議補丁是否最小、可審查、可測試。
不要一開始就把問題歸因給模型。Codex Security 的輸入包含儲存庫、environment、history window、threat model 和驗證環境，任何一層不準，輸出都會受影響。