Vérifier les correctifs de Codex Security sur votre site en ligne

Après qu’un assistant de code a corrigé votre code, demandez à Lockpick si le site déployé présente encore le problème, et obtenez Corrigé, Toujours ouvert ou Non concluant.

Lockpick fonctionne avec Codex Security. Les deux outils examinent des moitiés différentes du même problème. Codex Security lit votre code source et le corrige. Lockpick vérifie ce qui est réellement déployé à votre URL. Après un correctif, il reste une question : le site en ligne présente-t-il encore le problème ? Lockpick y répond.

Lockpick n’est ni affilié à OpenAI ni approuvé par eux. Codex Security n’est mentionné ici que pour dire que Lockpick fonctionne avec lui.

La boucle

Codex Security trouve un problème dans votre code et, après codex-security patch, propose ou applique un correctif.
Vous déployez le correctif sur le site.
Lockpick vérifie à nouveau l’URL déployée et renvoie l’un de trois états.

Ce que la nouvelle vérification peut prouver

Une nouvelle analyse est comparée à la précédente. Chaque constat antérieur revient sous l’une de ces formes.

Corrigé. Lockpick a relu la même ressource et n’a pas observé le problème. C’est une affirmation sur cette seule ressource, et non un certificat pour l’ensemble du site, ni une preuve qu’un identifiant a été renouvelé.
Toujours ouvert. Le problème est toujours observé. Si vous attendiez un correctif, vérifiez qu’il est bien en ligne à l’URL testée par Lockpick.
Non concluant. Lockpick n’a pas pu vérifier cette fois, parce que le site a bloqué l’analyse, l’a limitée en débit, ou que la profondeur n’a pas atteint cette partie. Non concluant n’est jamais corrigé.

Lockpick ne marque jamais un problème comme corrigé parce qu’un correctif a été fusionné ou qu’un ticket a été fermé. Il ne rapporte que ce qu’il a observé sur le site déployé.

Depuis votre agent de code

Connectez Lockpick à votre assistant (voir Codex et permissions), puis demandez-lui de vérifier le correctif. Le skill lockpick-fix du pack de skills guide l’assistant dans la réparation et la nouvelle vérification.

Consigne

I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.

Depuis la CLI

Vérifier à nouveau nécessite l’autorisation de lancer des analyses sur le site, et une clé CLI avec accès à Pulse. Les analyses Deep exigent aussi une preuve de propriété et une approbation.

Un constat DNS d’enregistrement public pris en charge peut être relu gratuitement, ce qui laisse la note inchangée.

Relecture DNS

lockpick recheck <scan-id> --dns <finding-id>

Tout ce qui est accessible en HTTP nécessite une nouvelle analyse à la profondeur du constat, ce qui consomme une analyse de votre quota mensuel. Consultez d’abord le coût.

Relancer un constat HTTP déployé

lockpick status
lockpick pulse <site>
lockpick compare <run-id>

lockpick compare affiche les mêmes trois états pour chaque constat antérieur.

Intégrer les constats de code

Pour voir les constats de code de Codex Security à côté des constats en ligne de Lockpick, corrélez-les sur votre machine.

Corrélation, rien ne quitte votre machine

lockpick import findings.json --run <run-id>

Elle lit un fichier findings.json de Codex Security ou un fichier SARIF 2.1.0, associe chaque constat de code aux constats en ligne sur la même route, et augmente la confiance lorsque Lockpick a vu cette route répondre sans connexion. Par défaut, rien sur les constats de code ne quitte votre machine. Seul un --upload explicite construit un ensemble minimal de clés de corrélation (chemins de route, identifiants de règle et gravités) et vous montre d’abord exactement ce qui serait partagé.