Verificar e analisar vulnerabilidades de código

Visualizar

Este produto ou recurso está sujeito aos "Termos de ofertas pré-GA" na seção Termos gerais de serviço dos Termos específicos de serviço e aos Termos adicionais para produtos de pré-lançamento de IA generativa. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Os produtos pré-GA estão em vários estágios de teste e revisão internos. Por isso, os clientes precisam supervisionar de perto o uso do CodeMender e não usá-lo em situações em que erros graves não podem ser corrigidos. Este produto é disponibilizado aos Clientes apenas para testes e avaliações limitados e não pode ser usado para fins comerciais ou de produção.

Você só pode usar o CodeMender para analisar (i) código-fonte que você possui ou tem autorização para usar ou (ii) código aberto distribuído sob uma licença aprovada pela OSI. Você precisa usar essa oferta apenas para fins legítimos de defesa de segurança (e não para testes, exploração ou ataques cibernéticos não autorizados) de acordo com a Política de Uso Aceitável do Google Cloud e a Política de Uso Proibido da IA Generativa. Ao usar o CodeMender criado com um modelo Gemini Cyber ou Gemini Frontier Cyber, seu acesso e uso desses modelos também são regidos pela Seção 31 dos Termos Específicos de Serviço.

Ao desativar a confirmação humana de ações de gravação e execução de ferramentas (conforme descrito nos parâmetros do arquivo de configuração), o Cliente é responsável por essa modificação de acordo com a Seção 20(j) ("Modificação, desconsideração ou desativação de filtros de segurança") dos Termos Específicos de Serviço. O cliente concorda em não ignorar ou burlar automaticamente outras respostas que exigem confirmação humana.

O CodeMender permite que você verifique proativamente sua base de código em busca de pontos fracos de software e execute explorações de prova de conceito (PoC) no sandbox local para confirmar a possibilidade de exploração e reduzir significativamente os falsos positivos.

Verificar vulnerabilidades

Para verificar se há vulnerabilidades na base de código, execute cm find. Por padrão, cm find executa uma verificação profunda simultânea arquivo por arquivo no caminho de destino. Para uma verificação de sessão única mais rápida, transmita a flag --quick.

Verifique um subdiretório específico:

cm find ./src/auth/

Faça uma verificação rápida de sessão única em um subdiretório:

cm find ./src/auth/ --quick

Verifique apenas os arquivos modificados em um subdiretório:

cm find --diff ./src/auth/

Verificar um único arquivo:

cm find ./src/auth/session_manager.py

Pule as solicitações de aprovação interativas durante a verificação:

cm find ./src/auth/ -y

Para mais informações sobre verificações profundas padrão, verificação de solicitações de pull com --diff ou execução de verificações de sessão única com --quick, consulte Modos de localização do CodeMender e Integrar com CI/CD.

Verificar vulnerabilidades

Aviso: o CodeMender executa comandos e pode modificar arquivos diretamente no sistema host. Por padrão, esses comandos são executados em um sandbox local no nível do processo e são restritos ao diretório do espaço de trabalho e à política de comandos. Se você desativar o sandbox (em config.yaml ou usando a flag --sandbox=false) ou ignorar os limites de caminho ou comando (usando as flags --allow-all-paths ou --allow-all-commands), execute a CLI em uma VM ou um contêiner isolado para proteger o sistema host.

Depois que o CodeMender identificar possíveis vulnerabilidades, peça para ele verificar a possibilidade de exploração. Durante a verificação, o CodeMender gera e executa um exploit de prova de conceito (PoC) (dentro do sandbox padrão) para confirmar se o problema é realmente explorável.

Localize o finding-id na saída de cm report ou cm find e execute:

cm verify FINDING_ID

Sinalizações de verificação

As flags a seguir configuram cm verify:

Flag	padrão	Descrição
-c, --context TEXT	""	Transmita instruções de direcionamento ou contexto de domínio do aplicativo para orientar o agente (por exemplo, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Marque as descobertas de alta confiança como verificadas sem executar novamente o script de exploração de PoC depois que o agente de verificação terminar. O agente ainda gera e executa um exploit de PoC durante a verificação.
--sandbox	true	Ative ou desative explicitamente o sandbox no nível do SO para esta execução (por exemplo, --sandbox=false para desativar).
--allow-all-paths	false	Desative a verificação de limite do caminho do espaço de trabalho para que as ferramentas do agente possam acessar caminhos fora da raiz do projeto e do project_paths configurado (combine com --sandbox=false para acessar caminhos de host que não estão montados dentro do sandbox).
--allow-all-commands	false	Desativa a aplicação da lista de bloqueio command_policy.yaml para esta execução.
-y, --yes	false	Ignorar as solicitações de confirmação interativas ([Y/n]) para ações de ferramentas e execução de exploit de PoC. Os comandos permanecem contidos no contêiner de sandbox no nível do SO (exebox), a menos que você também transmita --sandbox=false.
--bypass-warning	false	Ignora o aviso mostrado ao executar comandos no host sem o sandbox no nível do SO ou as solicitações de confirmação interativas.