Verifique as correções do Codex Security no seu site publicado

O Lockpick trabalha com o Codex Security. Eles olham metades diferentes do mesmo problema. O Codex Security lê o seu código-fonte e o corrige. O Lockpick verifica o que está realmente publicado na sua URL. Depois de uma correção, sobra uma pergunta: o site publicado ainda mostra o problema? O Lockpick responde.

O Lockpick não é afiliado nem endossado pela OpenAI. O Codex Security é citado aqui apenas para dizer que o Lockpick funciona junto com ele.

O ciclo

1. O Codex Security encontra um problema no seu código e, depois de codex-security patch, propõe ou aplica uma correção.
2. Você publica a correção no site.
3. O Lockpick verifica a URL publicada de novo e devolve um de três estados.

O que verificar de novo pode comprovar

Uma nova verificação é comparada com a anterior. Cada achado anterior volta como um destes.

• Corrigido. O Lockpick leu o mesmo recurso de novo e não observou o achado. É uma afirmação sobre aquele recurso, não um certificado para o site inteiro, e não uma prova de que uma credencial foi rotacionada.
• Ainda aberto. O achado continua sendo observado. Se você esperava uma correção, confira se o patch está realmente ativo na URL que o Lockpick testou.
• Inconclusivo. O Lockpick não conseguiu verificar desta vez, porque o site bloqueou a verificação, limitou a taxa de requisições ou a profundidade não chegou até ali. Inconclusivo nunca é corrigido.

O Lockpick nunca marca algo como corrigido porque um patch foi mesclado ou um chamado foi fechado. Ele relata apenas o que observou no site publicado.

Faça pelo seu agente de programação

Conecte o Lockpick ao seu assistente (veja Codex e permissões) e peça que ele verifique a correção. A skill lockpick-fix, do pacote de skills, guia o assistente pela correção e pela nova verificação.

I deployed the fix for the SSRF Codex Security found at /api/fetch. Use Lockpick to check the live URL again and tell me if it is fixed, still open or inconclusive.

Faça pela CLI

Verificar de novo exige permissão para iniciar verificações no site e uma chave de CLI com acesso ao Pulse. As verificações Deep também exigem prova de propriedade e aprovação.

Um achado de registro público (DNS) com suporte pode ser relido de graça, e isso não altera a nota.

lockpick recheck <scan-id> --dns <finding-id>

Qualquer coisa acessível por HTTP precisa de uma verificação nova na profundidade do achado, que usa uma verificação da sua cota mensal. Confira o custo antes.

lockpick status
lockpick pulse <site>
lockpick compare <run-id>

lockpick compare mostra os mesmos três estados para cada achado anterior.

Traga os achados de código

Para ver os achados de código do Codex Security ao lado dos achados ao vivo do Lockpick, correlacione-os na sua máquina.

lockpick import findings.json --run <run-id>

Ele lê um findings.json do Codex Security ou um arquivo SARIF 2.1.0, associa cada achado de código aos achados ao vivo na mesma rota e aumenta a confiança quando o Lockpick viu aquela rota responder sem login. Por padrão, nada sobre os achados de código sai da sua máquina. Só um --upload explícito monta um conjunto mínimo de chaves de correlação, os caminhos das rotas, os ids das regras e as gravidades, e antes mostra exatamente o que seria compartilhado.