Il est possible qu'une partie ou l'ensemble des informations de cette page ne s'appliquent pas au Cloud de confiance S3NS. Pour en savoir plus, consultez Différences par rapport à Google Cloud.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Analyser et valider les failles de code

Aperçu

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service et aux Conditions supplémentaires pour les produits d'IA générative en version preview. Les produits et fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Les produits pré-DG sont à différents stades de tests et d'examens internes. Par conséquent, les clients doivent surveiller de près l'utilisation de CodeMender et ne pas l'utiliser dans des situations où des erreurs graves ne peuvent pas être corrigées. Ce produit est mis à la disposition des clients uniquement pour des tests et des évaluations limités, et ne peut pas être utilisé à des fins commerciales ou de production.

Vous ne pouvez utiliser CodeMender que pour analyser (i) le code source que vous possédez ou que vous êtes autorisé à utiliser, ou (ii) le code Open Source distribué sous une licence approuvée par l'OSI. Vous devez utiliser cette offre uniquement à des fins de défense légitime de la sécurité (et non pour des tests, une exploitation ou des cyberattaques non autorisés), conformément au Règlement sur l'utilisation acceptable de Google Cloud et au Règlement sur les utilisations interdites de l'IA générative. Lorsque vous utilisez CodeMender conçu avec un modèle Gemini Cyber ou Gemini Frontier Cyber, votre accès à ces modèles et leur utilisation sont également régis par la section 31 des Conditions d'utilisation spécifiques aux services.

Lorsqu'il désactive la confirmation humaine des actions d'écriture et d'exécution d'outils (comme décrit dans les paramètres du fichier de configuration), le Client est responsable de cette modification en vertu de la section 20(j) ("Modifier, ignorer ou désactiver les filtres de sécurité") des Conditions spécifiques au service. Le client s'engage à ne pas contourner automatiquement les autres réponses nécessitant une confirmation humaine.

CodeMender vous permet d'analyser de manière proactive votre codebase à la recherche de faiblesses logicielles et d'exécuter des démonstrations de faisabilité dans votre bac à sable local pour confirmer l'exploitabilité et éliminer les faux positifs.

Rechercher des failles

Pour analyser votre codebase à la recherche de failles, exécutez cm find. Par défaut, cm find exécute une analyse approfondie simultanée fichier par fichier sur le chemin d'accès cible. Pour une analyse plus rapide d'une seule session, transmettez l'option --quick.

Analyser un sous-répertoire spécifique :

cm find ./src/auth/

Exécutez une analyse rapide plus rapide en une seule session sur un sous-répertoire :

cm find ./src/auth/ --quick

Analyser uniquement les fichiers modifiés dans un sous-répertoire :

cm find --diff ./src/auth/

Analyser un seul fichier :

cm find ./src/auth/session_manager.py

Ignorer les invites d'approbation interactives pendant l'analyse :

cm find ./src/auth/ -y

Pour en savoir plus sur les analyses approfondies par défaut, l'analyse des demandes d'extraction avec --diff ou l'exécution d'analyses en session unique avec --quick, consultez Modes de recherche CodeMender et Intégrer à CI/CD.

Vérifier les failles

Une fois que CodeMender a identifié des failles potentielles, demandez-lui de vérifier si elles sont exploitables. Lors de la vérification, CodeMender génère et exécute une preuve de concept (PoC) (dans le bac à sable par défaut) pour confirmer si le problème est réellement exploitable.

Recherchez finding-id dans le résultat de cm report ou cm find, puis exécutez la commande suivante :

cm verify FINDING_ID

Options de validation

Les options suivantes configurent cm verify :

Option	Valeur par défaut	Description
`-c, --context TEXT`	`""`	Transmettez des instructions de pilotage ou un contexte de domaine d'application pour guider l'agent (par exemple, `cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"`).
`--skip-exploit-verification`	`false`	Marquez les résultats à haut niveau de confiance comme validés sans réexécuter le script d'exploitation de PoC une fois que l'agent de validation a terminé. L'agent génère et exécute toujours un exploit de preuve de concept lors de la vérification.
`--sandbox`	`true`	Activez ou désactivez explicitement le bac à sable pour cette exécution (par exemple, `--sandbox=false` pour le désactiver).
`--unrestricted`	`false`	Contournez temporairement toutes les protections du bac à sable pour cette exécution, en désactivant les limites du système de fichiers et l'isolation des conteneurs au niveau de l'OS.
`-y, --yes`	`false`	Ignorer les invites de confirmation interactives (`[y/N]`) pour les actions de l'outil et l'exécution de l'exploit PoC. Les commandes restent contenues dans le conteneur de bac à sable au niveau de l'OS (`exebox`).