Codex Security Cloud: theo dõi commit mới trên GitHub

Codex Security Cloud là plugin để quét kho GitHub đã kết nối và theo dõi commit mới trên nhánh mặc định. OpenAI giới thiệu tính năng này ở trạng thái research preview tại DevDay 2026. Nó có thể đưa ra phát hiện, bằng chứng kiểm tra và bản vá đề xuất; nhóm vẫn phải đọc và quyết định trước khi tạo draft pull request.

Đây là luồng chạy trong Codex cloud. Nếu bạn muốn quét một repo ở máy bằng terminal, hãy dùng hướng dẫn Codex Security CLI. Bài này tập trung vào kết nối GitHub và giám sát commit để nhóm không phải khởi chạy từng lần quét thủ công.

Cài plugin và giới hạn quyền GitHub

Theo hướng dẫn thiết lập của OpenAI, người được cấp quyền mở Plugins trong ChatGPT web hoặc desktop, tìm Codex Security Cloud, cài và bật plugin. Nếu không thấy tính năng, hỏi quản trị viên workspace; research preview không có sẵn cho mọi tài khoản.

Codex cloud cần được thiết lập cho workspace. Khi chọn Scan, nếu hệ thống yêu cầu thì kết nối GitHub và chỉ cấp quyền cho những repository cần kiểm tra. Nếu repo không xuất hiện, kiểm tra lại kết nối và quyền GitHub trước khi tạo một kho mới hoặc cấp quyền rộng hơn.

Nên bắt đầu với một repo thử, có người phụ trách bảo mật hoặc kỹ thuật xem kết quả. Thống nhất ai được xem findings, ai được duyệt bản vá và ai có quyền mở pull request. Với nhóm mới dùng Codex, xem thêm cách kiểm tra quyền cho tác vụ mã nguồn.

🔎 Quét một lần trước khi bật theo dõi

Trong New Scan, chọn repository và xem môi trường chạy. Auto tạo môi trường khi bắt đầu; Customize cho phép chọn môi trường đã có. Chọn One-Time Scan, rồi Create. Mục Scans hiển thị tiến độ và các artifact.

Đọc kết quả đầu tiên trước khi bật giám sát. Nó giúp nhóm biết plugin nhìn thấy đúng repo hay chưa, có thiếu dependency hoặc điều kiện chạy thử không, và findings có đủ bằng chứng để điều tra không. Không phải mọi finding đều là lỗ hổng đã được xác nhận. Codex Security Cloud FAQ giải thích rằng bước auto-validation thử tái hiện lỗi trong container; finding không tái hiện được vẫn cần người xem xét.

Theo dõi commit mới trên nhánh mặc định

Khi sẵn sàng, mở Scan cho cùng repo và chọn Continuous Scanning. OpenAI cho biết chế độ này theo dõi nhánh mặc định. Chọn mốc Scan commit history from: khoảng dài hơn cho nhiều ngữ cảnh hơn, nhưng lần quét đầu có thể lâu hơn. Có thể thêm hướng dẫn phạm vi threat model nếu hệ thống của bạn có phần nhạy cảm cần ưu tiên, rồi chọn Create.

Sau đó, mở Repositories > repository > Monitoring settings để đổi môi trường cloud, số ngày lịch sử được xem, hoặc tạm dừng và bật lại giám sát. Threat model sinh ra ban đầu nên được nhóm đọc và cập nhật ở Project context khi kiến trúc, luồng đăng nhập hoặc ranh giới tin cậy thay đổi. Đừng coi bản mô tả tự sinh là sơ đồ bảo mật đã được phê duyệt.

🧾 Đọc finding và duyệt bản vá

Mở Findings, lọc các mục New, Triaged hoặc In Progress. Với mỗi finding, xem đoạn mã liên quan, mức độ ảnh hưởng, bằng chứng validation và cách khắc phục. Nếu có nút Fix with Codex, bạn có thể yêu cầu bản vá đề xuất, nhưng phải kiểm tra diff, chạy test phù hợp và xem tác động đến chức năng trước khi chọn Create draft pull request.

Codex Security Cloud hỗ trợ xếp ưu tiên và thử tái hiện lỗi. Nó không thay thế SAST hiện có, việc xác minh khả năng khai thác hoặc người duyệt bảo mật. OpenAI cũng nói plugin không tự áp dụng bản vá vào nhánh PR của bạn. Một finding chưa được validation thành công là tín hiệu để điều tra tiếp, không phải bằng chứng đã an toàn.

Bắt đầu bằng một repo

1. Chọn repo thử và cấp quyền GitHub vừa đủ.
2. Chạy One-Time Scan, đọc kết quả và chỉnh môi trường nếu cần.
3. Bật Continuous Scanning trên nhánh mặc định, chọn lịch sử commit phù hợp.
4. Rà threat model, phân công người xem findings và người duyệt patch.
5. Sau vài commit, kiểm tra Scans, Findings và thời gian xử lý thực tế rồi mới mở rộng.

Hỏi nhanh

Cloud và CLI có giống nhau không? Không. Cloud theo dõi repo GitHub đã kết nối trong Codex cloud; CLI phục vụ luồng quét cục bộ hoặc trong quy trình dòng lệnh.

Plugin có tự sửa mã không? Không. Bản vá đề xuất cần người xem và quyết định trước khi mở draft pull request.

Continuous Scanning xem nhánh nào? Theo tài liệu thiết lập hiện tại, nó quét nhánh mặc định của repository.

Nguồn: DevDay 2026, Cloud setup và Cloud FAQ, OpenAI Learn, đối chiếu ngày 5/10/2026. Tính năng đang ở research preview; quyền truy cập và giao diện có thể khác theo workspace.

#Codex #CodexSecurity #GitHub #BaoMatMaNguon