Analiza y verifica las vulnerabilidades del código

Vista previa

Este producto o función está sujeto a las "Condiciones de la Oferta de la Fase Previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio y las Condiciones Adicionales para Productos de IA Generativa en Versión Preliminar. Los productos y las funciones de la fase previa a la DG están disponibles "sin modificaciones" y pueden tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Los productos en fase previa a la DG se encuentran en varias etapas de pruebas y revisiones internas. Por lo tanto, los clientes deben supervisar de cerca el uso de CodeMender y no usarlo en situaciones en las que no se puedan corregir errores graves. Este producto se pone a disposición de los Clientes únicamente para pruebas y evaluaciones limitadas, y no se puede usar con fines comerciales o de producción.

Solo puedes usar CodeMender para analizar (i) el código fuente que te pertenece o que tienes autorización para usar, o (ii) el código abierto distribuido bajo una licencia aprobada por la OSI. Debes usar esta oferta únicamente con fines legítimos de defensa de la seguridad (y no para pruebas, explotación o ciberataques no autorizados) de conformidad con la Política de Uso Aceptable de Google Cloud y la Política de Uso Prohibido de IA Generativas. Cuando usas CodeMender compilado con un modelo de Gemini Cyber o Gemini Frontier Cyber, tu acceso a esos modelos y el uso que hagas de ellos también se rigen por el artículo 31 de las Condiciones Específicas del Servicio.

Cuando se inhabilita la confirmación humana de las acciones de escritura y ejecución de herramientas (como se describe en los parámetros del archivo de configuración), el Cliente es responsable de dicha modificación en virtud del Artículo 20(j) ("Modificación, Omisión o Inhabilitación de los Filtros de Seguridad") de las Condiciones Específicas del Servicio. El cliente acepta no omitir ni eludir automáticamente otras respuestas que requieran confirmación humana.

CodeMender te permite analizar de forma proactiva tu base de código en busca de debilidades de software y ejecutar exploits de prueba de concepto (PoC) en tu zona de pruebas local para confirmar la explotabilidad y eliminar los falsos positivos.

Analiza en busca de vulnerabilidades

Para analizar tu base de código en busca de vulnerabilidades, ejecuta cm find. De forma predeterminada, cm find ejecuta un análisis profundo simultáneo archivo por archivo en la ruta de acceso de destino. Para realizar un análisis más rápido de una sola sesión, pasa la marca --quick.

Analiza un subdirectorio específico:

cm find ./src/auth/

Ejecuta un análisis rápido de una sola sesión más rápido en un subdirectorio:

cm find ./src/auth/ --quick

Analiza solo los archivos modificados en un subdirectorio:

cm find --diff ./src/auth/

Analiza un solo archivo:

cm find ./src/auth/session_manager.py

Omite los mensajes de aprobación interactivos durante el análisis:

cm find ./src/auth/ -y

Para obtener más información sobre los análisis profundos predeterminados, el análisis de solicitudes de extracción con --diff o la ejecución de análisis de sesión única con --quick, consulta los modos de búsqueda de CodeMender y Integración con CI/CD.

Verifica las vulnerabilidades

Advertencia: CodeMender ejecuta comandos y puede modificar archivos directamente en tu sistema host. De forma predeterminada, estos comandos se ejecutan dentro de una zona de pruebas local a nivel de proceso y están restringidos a tu directorio de espacio de trabajo y a la política de comandos. Si inhabilitas la zona de pruebas (en config.yaml o con la marca --sandbox=false) o evitas los límites de ruta de acceso o de comandos (con las marcas --allow-all-paths o --allow-all-commands), ejecuta la CLI en una VM o un contenedor aislados para proteger tu sistema host.

Una vez que CodeMender identifique posibles vulnerabilidades, pídele que verifique la capacidad de explotación. Durante la verificación, CodeMender genera y ejecuta un exploit de prueba de concepto (PoC) (dentro de la zona de pruebas predeterminada) para confirmar si el problema es realmente explotable.

Ubica el finding-id en el resultado de cm report o cm find y, luego, ejecuta lo siguiente:

cm verify FINDING_ID

Marcas de verificación

Las siguientes marcas configuran cm verify:

Marca	Valor predeterminado	Descripción
-c, --context TEXT	""	Pasa instrucciones de dirección o contexto del dominio de la aplicación para guiar al agente (por ejemplo, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Marcar los hallazgos de alta confianza como verificados sin volver a ejecutar la secuencia de comandos de exploit de PoC después de que finalice el agente de verificación El agente aún genera y ejecuta un exploit de PoC durante la verificación.
--sandbox	true	Habilita o inhabilita de forma explícita la zona de pruebas a nivel del SO para esta ejecución (por ejemplo, --sandbox=false para inhabilitarla).
--allow-all-paths	false	Inhabilita la verificación de límites de la ruta de acceso del espacio de trabajo para que las herramientas del agente puedan acceder a las rutas de acceso fuera de la raíz del proyecto y el project_paths configurado (combínalo con --sandbox=false para acceder a las rutas de acceso del host que no están activadas dentro de la zona de pruebas).
--allow-all-commands	false	Inhabilitar la aplicación de la lista de entidades bloqueadas de command_policy.yaml para esta ejecución
-y, --yes	false	Omitir los mensajes de confirmación interactivos ([Y/n]) para las acciones de la herramienta y la ejecución de exploits de PoC Los comandos permanecen contenidos dentro del contenedor de la zona de pruebas a nivel del SO (exebox), a menos que también pases --sandbox=false.
--bypass-warning	false	Omite el mensaje de advertencia que se muestra cuando se ejecutan comandos en el host sin la zona de pruebas a nivel del SO o los mensajes de confirmación interactivos.