Verifica las correcciones de Codex Security en tu sitio activo

Después de que un asistente de código parchee tu código, pregunta a Lockpick si el sitio desplegado sigue mostrando el problema, y recibe corregido, sigue abierto o no concluyente.

Lockpick funciona junto con Codex Security. Miran mitades distintas del mismo problema. Codex Security lee tu código fuente y lo parchea. Lockpick comprueba lo que de verdad está desplegado en tu URL. Después de un parche queda una pregunta: ¿el sitio activo sigue mostrando el problema? Lockpick responde a eso.

Lockpick no está afiliado a OpenAI ni cuenta con su respaldo. Codex Security se menciona aquí solo para decir que Lockpick funciona junto con él.

El ciclo

Codex Security encuentra un problema en tu código y, tras codex-security patch, propone o aplica una corrección.
Despliegas la corrección en el sitio.
Lockpick vuelve a comprobar la URL desplegada y devuelve uno de tres estados.

Qué puede demostrar volver a comprobar

Un escaneo nuevo se compara con el anterior. Cada hallazgo anterior vuelve como uno de estos.

Corregido. Lockpick volvió a leer el mismo recurso y no observó el hallazgo. Es una afirmación sobre ese recurso, no un certificado para todo el sitio, y no es una prueba de que una credencial se rotó.
Sigue abierto. El hallazgo sigue observándose. Si esperabas una corrección, comprueba que el parche esté realmente activo en la URL que probó Lockpick.
No concluyente. Lockpick no pudo comprobar esta vez, porque el sitio bloqueó el escaneo, lo limitó por frecuencia, o la profundidad no llegó hasta allí. No concluyente nunca es corregido.

Lockpick nunca marca algo como corregido porque un parche se fusionó o se cerró un ticket. Solo informa de lo que observó en el sitio desplegado.

Hazlo desde tu asistente de programación

Conecta Lockpick a tu asistente (consulta Codex y permisos), y después pídele que verifique la corrección. La habilidad lockpick-fix del paquete de habilidades lo guía por la reparación y por volver a comprobarla.

Prompt

I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.

Hazlo desde la CLI

Volver a comprobar necesita permiso para iniciar escaneos en el sitio y una clave de CLI con acceso a Pulse. Los escaneos Deep además necesitan prueba de propiedad y aprobación.

Un hallazgo de registro público (DNS) compatible se puede volver a leer gratis, lo que deja la nota sin cambios.

Nueva comprobación DNS

lockpick recheck <scan-id> --dns <finding-id>

Cualquier cosa accesible por HTTP necesita un escaneo nuevo a la profundidad del hallazgo, que usa un escaneo de tu cupo mensual. Consulta el coste antes.

Volver a comprobar un hallazgo HTTP desplegado

lockpick status
lockpick pulse <site>
lockpick compare <run-id>

lockpick compare muestra los mismos tres estados para cada hallazgo anterior.

Incorpora los hallazgos de código

Para ver juntos los hallazgos de código de Codex Security y los hallazgos en vivo de Lockpick, correlaciónalos en tu equipo.

Correlaciona, nada sale de tu equipo

lockpick import findings.json --run <run-id>

Lee un findings.json de Codex Security o un archivo SARIF 2.1.0, relaciona cada hallazgo de código con los hallazgos en vivo de la misma ruta y aumenta la confianza cuando Lockpick vio esa ruta responder sin iniciar sesión. Por defecto, nada sobre los hallazgos de código sale de tu equipo. Solo un --upload explícito construye un conjunto mínimo de claves de correlación, es decir, las rutas, los identificadores de regla y las gravedades, y antes te muestra exactamente lo que compartiría.