Đánh giá rủi ro AIKhám phá AI ngầmTư thế bảo mật đám mâyKiểm chứng khai thácCI/CDNền tảng liên tụcBáo cáoDanh tính & truy cậpAgentic Trust & Protection Platform
CI/CD

Quét từ pipeline của bạn. Kiểm soát build dựa trên phát hiện.

Chạy quét từ pipeline và kiểm soát build dựa trên các phát hiện. Cơ chế là một khóa kích hoạt theo từng tài sản — một bí mật có phạm vi giới hạn, có thể khởi chạy và đọc kết quả quét của một tài sản, mà không cần bearer token của tài khoản bạn.

Bắt đầu đánh giá miễn phí Đọc tài liệu
Một tài sản
là tất cả những gì một khóa kích hoạt có thể chạm tới; nó không bao giờ đụng đến phần còn lại của tài khoản bạn
5 mức chặn
đánh trượt ở mức nghiêm trọng, cao, trung bình, thấp, hoặc không bao giờ
50 lần chạy lại
mức giới hạn cho một phép đo Tỷ lệ tấn công thành công
GitHub Action bl014h/redthread-scan-action@v1 · trên Marketplace
Ba tham số đầu vào, và build sẽ thất bại theo ngưỡng của bạn
Action khởi chạy một lần quét cho một tài sản, theo dõi trạng thái, đăng bản tóm tắt job, và đánh trượt build ở mức nghiêm trọng bạn chọn. fail-on: never chỉ gửi thông báo.
Workflow
- uses: bl014h/redthread-scan-action@v1
  with:
    api-key: ${{ secrets.REDTHREAD_SCAN_KEY }}
    asset-id: "abcd1234"
    fail-on: high   # critical | high | medium | low | never
Theo dõi trạng thái
GET /api/assets/<id>/runs/<run_id>   X-Scan-Key: •••
{ "status": "done", "findings_count": 3,
  "severity": { "critical": 0, "high": 1, "medium": 2, "low": 0 },
  "max_severity": "high" }
Khi hết hạn mức hoặc bị chặn do chưa xác minh, API trả về mã khác 2xx, nên CI nhận biết được Build thất bại
Cài từ GitHub Marketplace →
Cổng kiểm soát

Một pull request có thể đưa một đường tấn công vào sản phẩm sẽ không được phát hành.

✓
push
✓
khóa kích hoạt
•
chạy quét
×
fail-on: high
×
chặn hợp nhất
max_severity: high severity: { critical: 0, high: 1, medium: 2, low: 0 } exit 1 → build thất bại

Đặt fail-on: never và cùng lượt chạy đó sẽ đăng bản tóm tắt job mà không đánh trượt gì cả.

Cách vận hành
01
Một khóa giới hạn trong một tài sản
Hiển thị hoặc tạo khóa kích hoạt của tài sản, rồi xoay vòng khóa bất cứ khi nào bạn muốn — các bí mật CI cũ sẽ ngừng hoạt động ngay lập tức. Xóa tài sản sẽ xóa luôn các khóa của nó.
02
Cùng luồng xử lý như quét thủ công
Một lần kích hoạt chạy qua cùng luồng cổng kiểm soát → quét → tính phí, được gắn thẻ triggered_by=webhook, nên hạn mức, giới hạn đồng thời và trần ngân sách vẫn được áp dụng đầy đủ.
03
Chạy lại để đo Tỷ lệ tấn công thành công
Chạy lại PoC có thể tái lập của một phát hiện hành vi tối đa 50 lần và ghi nhận tỷ lệ thành công. Việc đánh giá dấu hiệu và từ chối không dùng LLM, nên không phát sinh chi phí mô hình — chỉ là các yêu cầu tới chính mục tiêu của bạn.

Action, từng tham số đầu vào.

Kiểm soát theo quyền sở hữu: chạy lại ASR yêu cầu tên miền đã được xác minh
Tham số
Mặc định
Chức năng
api-key
bắt buộc
Khóa kích hoạt của tài sản, lưu dưới dạng repository secret
asset-id
bắt buộc
Tài sản đã đăng ký mà workflow này quét
fail-on
high
critical · high · medium · low · never — mức nghiêm trọng khiến build thất bại
api-url
https://app.redthreadsec.com
Trỏ Action tới một bản triển khai khác
timeout-seconds
—
Thời gian job chờ lượt chạy hoàn tất
poll-seconds
—
Tần suất hỏi trạng thái

Đặt một phát hiện đã được chứng minh trước cửa hợp nhất.

Thiết lập Action