Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Code auf Sicherheitslücken scannen und diese bestätigen

Vorschau

Dieses Produkt oder diese Funktion unterliegt den Bedingungen für Pre‑GA-Angebote im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen, und den Zusatzbedingungen für Vorschauprodukte auf Basis von generativer KI. Pre‑GA-Produkte und ‑Funktionen sind „wie besehen“ verfügbar und haben möglicherweise eingeschränkten Support. Weitere Informationen finden Sie in den Beschreibungen der Produkteinführungsphasen.

Pre‑GA-Produkte befinden sich in verschiedenen Phasen interner Tests und Überprüfungen. Daher sollten Kunden die Verwendung von CodeMender genau überwachen und CodeMender nicht in Situationen einsetzen, in denen schwerwiegende Fehler nicht korrigiert werden können. Dieses Produkt wird Kunden ausschließlich für begrenzte Tests und Bewertungen zur Verfügung gestellt und darf nicht für kommerzielle oder Produktionszwecke verwendet werden.

Sie dürfen CodeMender nur verwenden, um (i) Quellcode zu analysieren, dessen Eigentümer Sie sind oder für dessen Verwendung Sie berechtigt sind, oder (ii) Open-Source-Code, der unter einer von der OSI genehmigten Lizenz vertrieben wird. Sie müssen dieses Angebot ausschließlich für legitime Zwecke der Sicherheitsabwehr verwenden (und nicht für unbefugte Tests, Ausnutzung oder Cyberangriffe) und dabei die Richtlinien zur zulässigen Verwendung von Google Cloud und die Richtlinie zur unzulässigen Nutzung von generativer KI einhalten. Wenn Sie CodeMender mit einem Gemini Cyber- oder Gemini Frontier Cyber-Modell verwenden, unterliegt Ihr Zugriff auf diese Modelle und deren Nutzung auch Abschnitt 31 der dienstspezifischen Nutzungsbedingungen.

Wenn Sie die menschliche Bestätigung von Schreib- und Toolausführungsaktionen deaktivieren (wie in den Parametern der Konfigurationsdatei beschrieben), ist der Kunde für diese Änderung gemäß Abschnitt 20(j) („Ändern, Ignorieren oder Deaktivieren von Sicherheits filtern“) der dienstspezifischen Nutzungsbedingungen verantwortlich. Der Kunde verpflichtet sich, andere Antworten, die eine menschliche Bestätigung erfordern, nicht automatisch zu umgehen.

Mit CodeMender können Sie Ihre Codebasis proaktiv auf Softwareschwachstellen scannen und Proof-of-Concept-Exploits (PoC) in Ihrer lokalen Sandbox ausführen, um die Ausnutzbarkeit zu bestätigen und falsch positive Ergebnisse zu beseitigen.

Auf Sicherheitslücken scannen

Führen Sie cm find aus, um einen schnellen Sicherheitsscan Ihrer Codebasis durchzuführen. Scannen Sie gezielte Module oder Batches von 10 bis 50 Dateien gleichzeitig, um eine optimale Leistung zu erzielen.

Bestimmtes Unterverzeichnis scannen:

cm find ./src/auth/

Nur die geänderten Dateien in einem Unterverzeichnis scannen:

cm find --diff ./src/auth/

Einzelne Datei scannen:

cm find ./src/auth/session_manager.py

Interaktive Genehmigungsaufforderungen während des Scans überspringen:

cm find ./src/auth/ -y

Weitere Informationen zum Scannen von Pull-Anfragen mit --diff oder zum Ausführen umfassender Scans mit mehreren Sitzungen mit --deep finden Sie unter CodeMender-Suchmodi und In CI/CD integrieren.

Sicherheitslücken überprüfen

Sobald CodeMender potenzielle Sicherheitslücken identifiziert hat, können Sie die Ausnutzbarkeit überprüfen. Während der Überprüfung generiert und führt CodeMender einen Proof-of-Concept-Exploit (PoC) in der Standard-Sandbox aus, um zu bestätigen, ob das Problem tatsächlich ausnutzbar ist.

Suchen Sie die finding-id in der Ausgabe von cm report oder cm find und führen Sie dann Folgendes aus:

cm verify FINDING_ID

Überprüfungsflags

Mit den folgenden Flags wird cm verify konfiguriert:

Flag	Standardeinstellung	Beschreibung
`-c, --context TEXT`	`""`	Übergeben Sie Steueranweisungen oder den Kontext der Anwendungsdomain, um den Agenten zu steuern (z. B. `cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"`).
`--skip-exploit-verification`	`false`	Markieren Sie Ergebnisse mit hoher Zuverlässigkeit als überprüft, ohne das PoC Exploit-Skript nach Abschluss der Überprüfung durch den Agenten noch einmal auszuführen. Der Agent generiert und führt während der Überprüfung weiterhin einen PoC-Exploit aus.
`--sandbox`	`true`	Aktivieren oder deaktivieren Sie die Sandbox explizit für diese Ausführung (z. B., `--sandbox=false` zum Deaktivieren).
`--unrestricted`	`false`	Umgehen Sie vorübergehend alle Sandbox-Schutzmaßnahmen für diese Ausführung und deaktivieren Sie Dateisystemgrenzen und die Containerisolation auf Betriebssystemebene.
`-y, --yes`	`false`	Überspringen Sie interaktive Bestätigungsaufforderungen (`[y/N]`) für Tool aktionen und die Ausführung von PoC-Exploits. Die Befehle bleiben im Sandbox-Container auf Betriebssystemebene (`exebox`) enthalten.