Sicherheitsbefunde exportieren und nachverfolgen

Verwenden Sie einen abgeschlossenen Codex Security-Scan als Quelle für zwei verschiedene Übergaben:

• Exportieren erstellt eine portable JSON-, CSV- oder SARIF-Datei.
• Befunde nachverfolgen bereitet ausgewählte Befunde als Linear-, GitHub- oder Jira-Issues oder als einen privaten Entwurf für einen GitHub Security Advisory vor, prüft auf Duplikate und wartet auf Ihre Genehmigung, bevor Daten geschrieben werden.

Diese Workflows ändern das versiegelte Scan-Bundle nicht.

Portables Artefakt exportieren

Öffnen Sie in der Desktop-App unter Security > Scans einen abgeschlossenen Scan. Verwenden Sie die verfügbaren Artefaktlinks, um report.md, findings.json, scan-manifest.json, coverage.json oder, sofern vorhanden, einen SARIF-Bericht zu prüfen.

Um ein anderes unterstütztes Format zu erstellen, bitten Sie Codex, Befunde aus dem abgeschlossenen Scan zu exportieren, ohne dessen versiegeltes Bundle zu verändern:

Export the findings from [completed scan directory] as [JSON, CSV, or SARIF]. Do not modify the sealed scan bundle or upload its contents.

Wählen Sie das Format, das zu Ihrem Ziel passt:

Wählen Sie Markdown-Bericht, um report.md in Ihrem konfigurierten externen Editor zu öffnen.

Verwenden Sie den zurückgegebenen Artefaktpfad. Wenn ein anderes Tool den vollständigen Scan- Kontext benötigt, bewahren Sie die ursprünglichen scan-manifest.json, findings.json und coverage.json zusammen auf. Beim Exportieren werden keine Befunde zu einem Code-Scanning- Dienst hochgeladen.

Ausgewählte Befunde nachverfolgen

Der Workflow $codex-security:track-findings akzeptiert einen validierten Befund oder einen ausdrücklich ausgewählten Stapel von bis zu 25 Befunden aus einem versiegelten Scan für die Issue-Nachverfolgung. Entwürfe für GitHub Security Advisories akzeptieren jeweils nur einen Befund. Ein Durchlauf verwendet einen Anbieter und ein Ziel.

Senden Sie für Linear einen Prompt wie diesen:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for the Linear team [team] and project [project, if
any]. Check for duplicates and show me the exact issue title, body, metadata,
and destination. Do not create or update anything until I approve that payload.

Senden Sie für GitHub-Issues:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for GitHub repository [owner/repository]. Check open
and closed issues for duplicates and show me the exact issue title, body,
metadata, repository visibility, and authenticated transport. Do not create or
update anything until I approve that payload.

Senden Sie für Jira:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for Jira project [project key] as [issue type].
Check for duplicates and show me the exact issue summary, description,
metadata, and destination. Do not create or update anything until I approve
that payload.

Für die Nachverfolgung mit Jira ist das Atlassian Rovo-Plugin in Codex erforderlich. Die Wiederverwendung eines Issues erfordert Lesezugriff; zum Erstellen oder Aktualisieren sind Lese- und Schreibzugriff erforderlich.

Senden Sie für einen privaten Entwurf eines GitHub Security Advisory:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] as a private draft GitHub Security Advisory in
[owner/repository]. Verify the sealed source revision, repository, affected
paths, package metadata, and duplicate state. Show me the exact advisory
payload, authenticated GitHub CLI identity, and disclosure warnings. Do not
create anything until I approve that payload.

Vorgeschlagenen Schreibvorgang prüfen

1. Bestätigen Sie, dass die Befund-ID und der Fingerabdruck aus dem vorgesehenen versiegelten Scan stammen.
2. Bestätigen Sie den Anbieter, das genaue Linear-Team, GitHub-Repository, Jira-Projekt oder Advisory-Repository sowie die aktuelle Sichtbarkeit des Ziels.
3. Prüfen Sie das Ergebnis der Duplikatsprüfung: create, reuse, update oder blocked.
4. Lesen Sie den vollständigen vorgeschlagenen Titel, Text, die Quellorte und die Anbieter- Metadaten. Entfernen Sie Exploit-Details oder interne Nachweise, die am Ziel nicht offengelegt werden sollten.
5. Genehmigen Sie nur exakt diese Nutzlast. Bei einer Änderung des Ziels, der Sichtbarkeit, der Befund- auswahl oder des Textes ist eine neue Vorschau erforderlich.

Sensible Befunde sollten an ein privates Ziel gesendet werden. Das Erstellen eines Issues in einem internen oder öffentlichen GitHub-Repository erfordert eine ausdrückliche Sichtbarkeitswarnung und die Genehmigung des vollständigen Inhalts. Behandeln Sie die Beschreibung eines Advisory-Entwurfs als letztlich öffentlich und entfernen Sie vor der Genehmigung Zugangsdaten, private Nachweise und unnötige Exploit-Details.

Prüfen und genehmigen Sie externe Aktionen in der Codex-Unterhaltung. Die Genehmigung erstellt keinen separaten Issue- oder Advisory-Bildschirm in der Security Workbench.

Nachverfolgtes Element überprüfen

Nach der Genehmigung validiert Codex die versiegelte Quelle, das Ziel, den Zugriff und den Duplikatstatus erneut. Ein Stapel wird sequenziell verarbeitet, und die Verarbeitung wird beim ersten unklaren Ergebnis beendet. Eine Erstellung, Aktualisierung oder Wiederverwendung ist erst abgeschlossen, nachdem Codex das konkrete Issue erneut gelesen und dessen verknüpfende Bezeichner sowie Inhalt überprüft hat.

Bewahren Sie die zurückgegebene kanonische Issue- oder Advisory-URL zusammen mit Ihrem Triage-Datensatz auf. Fahren Sie mit Einen Befund beheben und überprüfen fort, wenn der Verantwortliche das Element zur Behebung annimmt.