Tech • IA • Robotique • Jeu
Comment activer les revues de sécurité des PR avec Codex Security
INTRO
Codacy dans GitHub permet d’exécuter des revues de sécurité sur les pull requests, manuellement ou automatiquement, afin de détecter les vulnérabilités avant la fusion du code, puis de les associer à Codex pour proposer et vérifier des correctifs.
POINTS CLÉS
Configuration de l’application GitHub
Le workflow commence par l’installation et la configuration du connecteur ChatGPT Codacy dans un dépôt GitHub. Si l’application n’est pas disponible, l’accès nécessite généralement une coordination avec un administrateur de l’espace de travail ainsi qu’avec le propriétaire du dépôt ou de l’organisation.
Revue de sécurité manuelle dans une pull request
Un développeur peut demander une revue directement dans une pull request en mentionnant Codacy dans un commentaire et en demandant une analyse de sécurité. Une fois l’analyse terminée, Codacy publie un résumé dans la discussion et affiche les résultats dans la pull request pour inspection directe.
Correction des vulnérabilités avec Codex
Lorsqu’un problème apparaît, le lien de la pull request peut être envoyé à Codex avec des instructions pour corriger l’élément signalé. Dans le cas présenté, Codex a analysé le dépôt, généré une modification de code pour corriger une vulnérabilité de cross-site scripting, puis publié le correctif dans la même pull request sous forme de commit.
Vérification par une seconde revue
L’étape de remédiation est suivie d’une nouvelle demande de revue de sécurité afin de confirmer le correctif. Une fois la nouvelle analyse terminée, la pull request a affiché un résultat propre indiquant qu’aucun problème n’avait été détecté.
Des analyses à la demande vers l’automatisation
Le processus peut aller au-delà des vérifications manuelles grâce aux paramètres de l’application Codex. Dans la section code review, les utilisateurs peuvent activer leurs préférences personnelles de revue de sécurité afin que leurs propres pull requests soient analysées automatiquement, sans attendre une demande explicite en commentaire.
Contrôles de déclenchement et de gravité
Les paramètres de revue permettent aux équipes de définir quand les analyses s’exécutent, soit à l’ouverture d’une pull request, soit à chaque push sur une pull request existante. Ils permettent aussi de définir des seuils pour les alertes manuelles et automatiques afin de limiter les notifications au niveau de gravité souhaité.
Application à l’échelle du dépôt
Les paramètres personnels n’affectent que les pull requests ouvertes par un utilisateur donné, mais les paramètres du dépôt peuvent étendre la même protection à tous les contributeurs. En basculant la fréquence de revue sur all PRs, un dépôt peut garantir que chaque nouvelle pull request reçoit automatiquement une analyse de sécurité, quel que soit son auteur.
Revue automatisée en action
Dans la configuration au niveau du dépôt présentée, une pull request nouvellement créée contenant des vulnérabilités connues a déclenché automatiquement une revue de sécurité Codex sans aucune intervention manuelle. L’analyse est apparue dans la pull request peu après sa création, montrant comment le système peut faire remonter les problèmes tôt dans le cycle de développement.
Guidage personnalisé via les instructions du dépôt
La configuration prend aussi en charge des fichiers d’instructions du dépôt, tels que agents markdown et les fichiers security MD. Ces fichiers peuvent fournir des indications propres au projet afin que le système de revue comprenne mieux les conventions du dépôt et les exigences de sécurité.
CONCLUSION
Ce workflow combine la détection automatisée dans GitHub avec une remédiation assistée par l’IA afin de réduire le délai entre la découverte d’une faille et la validation d’un correctif. Utilisé à l’échelle d’un dépôt, il peut aider les équipes à détecter les vulnérabilités avant qu’elles ne deviennent des risques en production.
Poser une question