Clasificar un backlog
Revisa los hallazgos de seguridad existentes en relación con un repositorio y ordena el trabajo de seguimiento.
Usa $codex-security:triage-finding para revisar los hallazgos de seguridad existentes
en relación con el repositorio actual. Este flujo de trabajo realiza un análisis
estático de solo lectura: Codex trata cada hallazgo como una afirmación no demostrada e inspecciona la
evidencia del repositorio sin ejecutar el código.
Ejecuta este flujo de trabajo desde un proyecto de Codex cuyo ámbito sea el repositorio que quieres evaluar. Codex debe poder leer el código fuente del repositorio. Los conectores de Jira y Linear pueden proporcionar datos de los hallazgos, mientras que los hallazgos de GitHub requieren acceso autenticado a la API REST de GitHub. Ninguno de ellos sustituye el acceso al código fuente.
Esto difiere de $codex-security:validation, que puede compilar o ejecutar código,
crear una prueba o una prueba de concepto, o interactuar con una interfaz real para
reproducir o refutar un hallazgo. Usa la evaluación inicial para clasificar y priorizar una
lista de hallazgos pendientes existente. Usa la validación cuando la evidencia de ejecución pueda resolver un hallazgo
que la evidencia estática deja incierto.
Elegir los hallazgos que se clasificarán
Puedes proporcionar un hallazgo o una colección procedente de estas fuentes:
| Fuente | Qué proporcionar | Requisitos |
|---|---|---|
| Hallazgos pegados o locales | Resultados SARIF, un CVE o GHSA, un aviso, un ticket de un escáner, un informe de un programa de recompensas por errores, un artefacto de hallazgo de Codex Security o una afirmación de vulnerabilidad en lenguaje natural. | No se requiere un conector. |
| Jira o Linear | URLs o identificadores exactos de incidencias de seguridad o vulnerabilidades, JQL de Jira, o un equipo, proyecto o frase de búsqueda de Linear. Codex recupera el contenido de las incidencias seleccionadas antes de la evaluación inicial. | Jira a través de Atlassian Rovo o Linear con acceso de lectura. |
| GitHub | Un repositorio y una fuente de hallazgos: análisis de código, vulnerabilidades y malware de Dependabot, avisos de seguridad e informes privados de vulnerabilidades, o todas las fuentes. Si no especificas un repositorio, Codex usa el repositorio de GitHub vinculado al proyecto actual de Codex cuando está disponible. Las incidencias de GitHub no se incluyen de forma predeterminada. Proporciona una incidencia específica o solicita las incidencias de GitHub explícitamente. |
Acceso autenticado a GitHub REST, como gh auth token, GH_TOKEN o GITHUB_TOKEN, con permiso para leer el repositorio y el tipo de hallazgo seleccionados. |
Codex conserva un resultado por cada hallazgo proporcionado, en el orden de entrada, para que cada hallazgo de origen mantenga su trazabilidad. No combina ni descarta los hallazgos que parecen duplicados.
Ejecutar la clasificación de solo lectura
Para los hallazgos pegados o los artefactos locales, envía un prompt como este:
Use $codex-security:triage-finding to triage these existing security findings against this repository:
[Paste the findings or provide the artifact path.]Para las incidencias de Jira o Linear, identifica el conjunto de incidencias y mantén el sistema de origen en modo de solo lectura:
Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.Para los hallazgos de GitHub, indica el repositorio y la fuente:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.Para usar el repositorio de GitHub asociado al proyecto actual de Codex, especifica solo la fuente de los hallazgos:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.Codex comprueba el código fuente actual y la política de SECURITY.md aplicable y, a continuación,
devuelve un veredicto para cada hallazgo de entrada. Registra evidencia tanto a favor como en
contra de la afirmación, junto con las preguntas sin resolver.
Revisar los resultados
| Veredicto | Qué significa |
|---|---|
confirmed |
La evidencia del repositorio demuestra que la ruta vulnerable es accesible bajo las condiciones previas indicadas y que atraviesa un límite de seguridad admitido. |
not_actionable |
La evidencia del repositorio descarta la afirmación, por ejemplo, al mostrar una versión no afectada, una ruta inaccesible, una protección eficaz o una superficie no distribuida. |
needs_review |
La evidencia del repositorio no basta para decidir porque falta información necesaria o esta es ambigua, depende del tiempo de ejecución, del entorno o de las políticas. |
Usa las clasificaciones para decidir qué hallazgos confirmed corregir primero y qué
hallazgos needs_review investigar primero. Cada grupo se clasifica por separado.
Lee la justificación del veredicto junto con el código afectado y los requisitos previos del
atacante. Comprueba la evidencia frente a la afirmación y las preguntas pendientes
antes de actuar según la prioridad. Aquí, confirmed significa respaldado por evidencia estática del
repositorio, no reproducido mediante la ejecución de la aplicación.
Jira, Linear y los demás registros de hallazgos pendientes permanecen sin cambios a menos que pidas a Codex que los actualice después de revisar los resultados de la evaluación inicial.
Siguientes pasos
confirmed: Después de que una persona acepte el hallazgo para su corrección, usa$codex-security:fix-findingpara corregirlo y verificarlo. La evaluación inicial prepara un traspaso listo para usar como prompt, pero no invoca la habilidad automáticamente.needs_review: Si ejecutar código puede resolver la laguna de evidencia, usa$codex-security:validationpara probar el hallazgo con código en ejecución. Proporciona la afirmación del hallazgo, las ubicaciones afectadas, las condiciones previas, la evidencia estática y las lagunas de evidencia del resultado de la evaluación inicial:
Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.A diferencia de la evaluación inicial, la validación puede compilar o ejecutar código, crear una prueba o una prueba de concepto, o interactuar con una interfaz real. Consulta las políticas de aprobación y seguridad de Codex para conocer los controles de ejecución.
needs_review: Si el hallazgo depende de la política del producto o del contexto de despliegue, responde a las preguntas pendientes enumeradas antes de cambiar el código.not_actionable: Conserva la evidencia junto con el registro de la evaluación inicial. Codex no cierra ni actualiza automáticamente el ticket de origen.- Para buscar vulnerabilidades más allá de los hallazgos pendientes proporcionados, ejecuta un análisis de seguridad.