실제 사이트에서 Codex Security 수정 확인하기

Lockpick은 Codex Security와 함께 작동합니다. 두 도구는 같은 문제의 서로 다른 절반을 봅니다. Codex Security는 소스 코드를 읽고 패치합니다. Lockpick은 내 URL에 실제로 배포된 것을 확인합니다. 패치 후에는 질문이 하나 남습니다. 실제 사이트에 여전히 문제가 보이는가? Lockpick이 그 질문에 답합니다.

Lockpick은 OpenAI와 제휴하거나 OpenAI의 보증을 받지 않았습니다. 여기서 Codex Security를 언급하는 이유는 Lockpick이 그것과 함께 동작한다는 것을 설명하기 위해서입니다.

순환 과정

1. Codex Security가 코드에서 문제를 찾고, codex-security patch 후에 수정을 제안하거나 적용합니다.
2. 수정 사항을 사이트에 배포합니다.
3. Lockpick이 배포된 URL을 다시 확인하고 세 가지 상태 중 하나를 반환합니다.

다시 검사로 증명할 수 있는 것

새 스캔은 이전 스캔과 비교됩니다. 이전 문제는 각각 다음 중 하나로 돌아옵니다.

• 수정됨. Lockpick이 같은 리소스를 다시 읽었고 그 문제를 관찰하지 않았습니다. 이것은 그 리소스 하나에 대한 진술이며, 사이트 전체에 대한 인증서가 아니고 자격 증명을 교체했다는 증명도 아닙니다.
• 여전히 열려 있음. 문제가 여전히 관찰됩니다. 수정을 기대했다면, Lockpick이 테스트한 URL에서 패치가 실제로 적용되었는지 확인하세요.
• 판단 불가. 이번에는 확인할 수 없었습니다. 사이트가 스캔을 차단했거나, 속도를 제한했거나, 검사 깊이가 그 지점까지 닿지 않았기 때문입니다. 판단 불가는 절대 수정됨이 아닙니다.

Lockpick은 패치가 병합되었거나 티켓이 닫혔다는 이유로 무엇인가를 수정됨으로 표시하지 않습니다. 배포된 사이트에서 관찰한 것만 보고합니다.

코딩 에이전트에서 실행하기

Lockpick을 도우미에 연결한 뒤(Codex와 권한 참고), 수정을 확인해 달라고 요청하세요. 스킬 팩의 lockpick-fix 스킬이 수정하고 다시 확인하는 과정을 안내합니다.

I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.

CLI에서 실행하기

다시 확인하려면 사이트에서 스캔을 시작할 권한과 Pulse 접근이 가능한 CLI 키가 필요합니다. Deep 스캔에는 소유권 증명과 승인도 필요합니다.

지원되는 공개 기록(DNS) 문제는 무료로 다시 읽을 수 있으며, 이때 등급은 바뀌지 않습니다.

lockpick recheck <scan-id> --dns <finding-id>

HTTP로 접근할 수 있는 모든 문제는 그 문제의 깊이에 맞춘 새 스캔이 필요하며, 이는 월 허용량에서 스캔 하나를 사용합니다. 먼저 비용을 확인하세요.

lockpick status
lockpick pulse <site>
lockpick compare <run-id>

lockpick compare는 이전 문제마다 같은 세 가지 상태를 출력합니다.

코드 문제 가져오기

Codex Security의 코드 문제를 Lockpick의 실시간 문제와 함께 보려면, 내 컴퓨터에서 둘을 대조하세요.

lockpick import findings.json --run <run-id>

이 명령은 Codex Security의 findings.json 또는 SARIF 2.1.0 파일을 읽고, 각 코드 문제를 같은 경로의 실시간 문제와 맞춥니다. Lockpick이 그 경로가 로그인 없이 응답하는 것을 본 경우에는 확신도를 높입니다. 기본적으로 코드 문제에 관한 어떤 것도 내 컴퓨터를 떠나지 않습니다. 명시적으로 --upload를 실행한 경우에만 최소한의 대조 키(경로, 규칙 ID, 심각도)를 만들며, 공유하기 전에 정확히 무엇을 공유할지 먼저 보여 줍니다.