公開中のサイトでCodex Securityの修正を検証する

Lockpickは、Codex Securityと連携します。両者は同じ問題の別々の半分を見ています。Codex Securityはあなたのソースコードを読み、それを修正します。Lockpickは、あなたのURLで実際にデプロイされているものを確認します。修正の後に残る問いは1つです。公開中のサイトに、まだ問題が見られるかどうか。その答えをLockpickが返します。

Lockpickは OpenAI と提携しておらず、OpenAI による推奨も受けていません。Codex Securityの名前は、LockpickがそれとともにCodex Securityと連携できることを説明するためだけに記載しています。

流れ

1. Codex Securityがあなたのコードで問題を見つけ、codex-security patch の後に修正を提案するか、適用します。
2. あなたが修正をサイトにデプロイします。
3. LockpickがデプロイされたURLを再度確認し、3つの状態のいずれかを返します。

再チェックで何を証明できるか

新しいスキャンは、以前のスキャンと比べられます。以前の各検出事項は、次のいずれかとして返されます。

• 修正済み。 Lockpickは同じリソースを再度読み取り、検出事項を観測しませんでした。これは、そのリソース1つについての判断であり、サイト全体の証明書ではありません。また、認証情報がローテーションされたことを証明するものでもありません。
• 未解決。 検出事項がまだ観測されています。修正を期待していた場合は、LockpickがテストしたURLで、修正が実際に公開されているか確認してください。
• 判定不能。 サイトがスキャンをブロックした、レート制限をかけた、または深さが足りずに届かなかったため、今回は確認できませんでした。判定不能は、決して修正済みとはなりません。

Lockpickは、パッチがマージされたことやチケットが閉じられたことを理由に、何かを修正済みとすることは決してありません。報告するのは、公開中のサイトで観測した内容だけです。

コーディングエージェントから行う

Lockpickをあなたのアシスタントに接続し（Codexと権限を参照）、修正の検証を依頼します。スキルパックの lockpick-fix スキルが、修正と再チェックの手順をアシスタントに案内します。

I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.

CLIから行う

再チェックには、そのサイトでスキャンを開始する権限と、Pulseへのアクセス権を持つCLIキーが必要です。Deepスキャンには、さらに所有の証明と承認が必要です。

公開記録（DNS）の検出事項の1つは、無料で読み直せます。その場合、評価は変わりません。

lockpick recheck <scan-id> --dns <finding-id>

HTTPで到達できるものは、検出事項の深さに合わせて新しいスキャンが必要です。その場合、毎月の利用枠からスキャン1回分を使います。先に費用を確認してください。

lockpick status
lockpick pulse <site>
lockpick compare <run-id>

lockpick compare は、以前の各検出事項について、同じ3つの状態を表示します。

コードの検出事項を取り込む

Codex Securityのコードの検出事項を、Lockpickの公開中の検出事項と並べて見るには、あなたのマシン上で関連付けを行います。

lockpick import findings.json --run <run-id>

このコマンドは、Codex Securityの findings.json またはSARIF 2.1.0ファイルを読み込みます。各コードの検出事項を、同じルートの公開中の検出事項と照合します。Lockpickが、そのルートがサインインせずに応答するのを観測していた場合は、確信度を上げます。既定では、コードの検出事項に関する情報がマシンの外に出ることはありません。明示的な --upload を指定した場合だけ、最小限の関連付けキー（ルートのパス、ルールID、重大度）を作成し、共有する前に、何が送られるかを正確に示します。