Einen Rückstand sichten
Prüfen Sie vorhandene Sicherheitsbefunde anhand eines Repositorys und priorisieren Sie die weiteren Arbeiten.
Verwenden Sie $codex-security:triage-finding, um vorhandene Sicherheitsbefunde
anhand des aktuellen Repositorys zu prüfen. Dieser Workflow führt eine schreibgeschützte
statische Analyse durch: Codex behandelt jeden Befund als unbewiesene Behauptung und untersucht
Belege im Repository, ohne den Code auszuführen.
Führen Sie diesen Workflow in einem Codex-Projekt aus, dessen Umfang auf das zu bewertende Repository beschränkt ist. Codex muss den Quellcode des Repositorys lesen können. Jira- und Linear- Konnektoren können Befunddaten bereitstellen, während GitHub-Befunde authentifizierten GitHub REST-Zugriff erfordern. Beides ersetzt nicht den Zugriff auf den Quellcode.
Dies unterscheidet sich von $codex-security:validation, das Code bauen oder ausführen,
einen Test oder Proof of Concept erstellen oder eine echte Schnittstelle nutzen kann, um
einen Befund zu reproduzieren oder zu widerlegen. Verwenden Sie die Triage, um einen
bestehenden Backlog zu klassifizieren und zu priorisieren. Verwenden Sie die Validierung, wenn Laufzeitnachweise einen Befund klären könnten,
der anhand statischer Nachweise ungewiss bleibt.
Zu sichtende Befunde auswählen
Sie können einen einzelnen Befund oder eine Sammlung aus diesen Quellen bereitstellen:
| Quelle | Bereitzustellende Informationen | Anforderungen |
|---|---|---|
| Eingefügte oder lokale Befunde | SARIF-Ergebnisse, eine CVE oder GHSA, eine Sicherheitsmeldung, ein Scanner-Ticket, ein Bug-Bounty-Bericht, ein Codex Security-Befundartefakt oder eine in Alltagssprache formulierte Schwachstellenbehauptung. | Kein Connector erforderlich. |
| Jira oder Linear | Genaue URLs oder Kennungen von Sicherheits- oder Schwachstellentickets, Jira JQL oder ein Linear-Team, -Projekt oder -Suchbegriff. Codex ruft den Inhalt der ausgewählten Tickets vor der Triage ab. | Jira über Atlassian Rovo oder Linear mit Lesezugriff. |
| GitHub | Ein Repository und eine Befundquelle: Code-Scanning, Dependabot-Schwachstellen und -Malware, Sicherheitsmeldungen und private Schwachstellenberichte oder alle Quellen. Wenn Sie kein Repository angeben, verwendet Codex das mit dem aktuellen Codex-Projekt verknüpfte GitHub-Repository, sofern verfügbar. GitHub Issues sind standardmäßig nicht enthalten. Geben Sie ein bestimmtes Issue an oder fordern Sie GitHub Issues ausdrücklich an. |
Authentifizierter GitHub REST-Zugriff, etwa über gh auth token, GH_TOKEN oder GITHUB_TOKEN, mit Leseberechtigung für das ausgewählte Repository und den Befundtyp. |
Codex behält für jeden bereitgestellten Befund ein Ergebnis in der Eingabereihenfolge bei, sodass jeder Quellbefund nachvollziehbar bleibt. Befunde, die wie Duplikate aussehen, werden weder zusammengeführt noch verworfen.
Schreibgeschützte Sichtung ausführen
Senden Sie für eingefügte Befunde oder lokale Artefakte einen Prompt wie diesen:
Use $codex-security:triage-finding to triage these existing security findings against this repository:
[Paste the findings or provide the artifact path.]Geben Sie für Jira- oder Linear-Tickets die Ticketmenge an und belassen Sie das Quellsystem im schreibgeschützten Modus:
Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.Geben Sie für GitHub-Befunde das Repository und die Quelle an:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.Um das dem aktuellen Codex-Projekt zugeordnete GitHub-Repository zu verwenden, geben Sie nur die Befundquelle an:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.Codex prüft den aktuellen Quellcode und die geltende SECURITY.md-Richtlinie und
liefert anschließend eine Bewertung für jeden eingegebenen Befund. Es dokumentiert Nachweise für und
gegen die Behauptung sowie ungeklärte Fragen.
Ergebnisse prüfen
| Urteil | Bedeutung |
|---|---|
confirmed |
Belege im Repository zeigen, dass der anfällige Pfad unter den angegebenen Vorbedingungen erreichbar ist und eine unterstützte Sicherheitsgrenze überschreitet. |
not_actionable |
Belege im Repository widerlegen die Behauptung, etwa indem sie eine nicht betroffene Version, einen nicht erreichbaren Pfad, eine wirksame Schutzmaßnahme oder eine nicht ausgelieferte Oberfläche belegen. |
needs_review |
Die Belege im Repository reichen für eine Entscheidung nicht aus, da erforderliche Informationen fehlen, mehrdeutig, laufzeitabhängig, umgebungsabhängig oder richtlinienabhängig sind. |
Entscheiden Sie anhand der Rangfolgen, welche confirmed-Befunde Sie zuerst beheben und welche
needs_review-Befunde Sie zuerst untersuchen. Jede Gruppe wird separat priorisiert.
Lesen Sie die Begründung der Bewertung zusammen mit dem betroffenen Code und den Voraussetzungen
für einen Angriff. Prüfen Sie die Nachweise anhand der Behauptung und aller offenen Fragen,
bevor Sie aufgrund der Rangfolge handeln. Hier bedeutet confirmed, dass der Befund durch statische
Nachweise aus dem Repository gestützt wird, nicht dass er durch Ausführen der Anwendung reproduziert wurde.
Jira-, Linear- und andere Backlog-Einträge bleiben unverändert, sofern Sie Codex nicht nach der Prüfung der Triage-Ergebnisse auffordern, sie zu aktualisieren.
Nächste Schritte
confirmed: Nachdem eine Person den Befund zur Behebung akzeptiert hat, verwenden Sie$codex-security:fix-finding, um ihn zu beheben und zu verifizieren. Die Triage bereitet eine direkt als Prompt nutzbare Übergabe vor, ruft den Skill jedoch nicht automatisch auf.needs_review: Wenn sich die Nachweislücke durch Ausführen von Code schließen lässt, verwenden Sie$codex-security:validation, um den Befund anhand von laufendem Code zu testen. Übergeben Sie die Behauptung zum Befund, betroffene Stellen, Voraussetzungen, statische Nachweise und Nachweislücken aus dem Triage-Ergebnis:
Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.Anders als die Triage kann die Validierung Code bauen oder ausführen, einen Test oder Proof of Concept erstellen oder eine echte Schnittstelle nutzen. Informationen zur Ausführungssteuerung finden Sie unter Codex-Genehmigungs- und Sicherheitsrichtlinien.
needs_review: Wenn der Befund von Produktrichtlinien oder dem Bereitstellungskontext abhängt, beantworten Sie die aufgeführten offenen Fragen, bevor Sie Code ändern.not_actionable: Bewahren Sie die Nachweise zusammen mit Ihrem Triage-Protokoll auf. Codex schließt oder aktualisiert das ursprüngliche Ticket nicht automatisch.- Um nach Schwachstellen außerhalb des bereitgestellten Backlogs zu suchen, führen Sie einen Sicherheitsscan aus.