Redactar informes de vulnerabilidades

Usa $codex-security:vulnerability-writeup para crear un informe independiente por cada vulnerabilidad distinta. Puedes partir de los resultados de un análisis de Codex Security o usar directamente los hallazgos, las notas de divulgación, las PoC y el código fuente proporcionados. No se requiere un análisis de Codex Security.

Preparar la evidencia

Proporciona al flujo de trabajo:

• Los hallazgos, notas de divulgación o documentos de evaluación que se deben revisar.
• El árbol de código fuente de destino y la revisión o versión afectada.
• Las PoC, los registros, las trazas, las capturas de pantalla o la salida de diagnóstico existentes.
• Los commits o diffs de las correcciones, cuando estén disponibles.

Codex contrasta cada afirmación con el código fuente afectado antes de redactar el informe. Si el código fuente o la revisión afectada no están disponibles, decide si quieres continuar con un informe que identifique las afirmaciones no verificadas.

Ejecutar el flujo de trabajo

Envía un prompt como este:

Use $codex-security:vulnerability-writeup to create one self-contained report for each distinct vulnerability in [input paths]. Verify the claims against [source path and revision], preserve or improve the supplied PoCs, and write the reports to [output directory]. Use a local test environment for reproductions.

Codex hace un inventario del material proporcionado, agrupa los informes que describen la misma causa raíz y ruta vulnerable, y crea un directorio de informe por cada vulnerabilidad distinta. Cada directorio contiene un informe en Markdown y un directorio poc/ cuando hay archivos de PoC complementarios disponibles.

Revisar cada informe

Antes de distribuir un informe, confirma que:

• Sigue el recorrido del error desde el punto de entrada controlado por el atacante hasta el invariante de seguridad vulnerado y el impacto.
• Distingue el comportamiento verificado de las hipótesis y las restricciones sin resolver.
• Incluye fragmentos del código fuente con las rutas, las funciones y la revisión afectada.
• Incluye el código fuente de la PoC, instrucciones de compilación o ejecución, una salida representativa y limitaciones de seguridad cuando sea viable crear una PoC.
• Usa rutas portables y no depende del almacenamiento interno ni de rutas absolutas locales.

Usar informes de un análisis

Los informes detallados de vulnerabilidades son opcionales para los análisis estándar, profundos y de cambios. Cuando los solicitas, Codex escribe cada informe en findings/<slug>/<slug>.md, almacena los archivos de respaldo en findings/<slug>/poc/ y enlaza el informe desde report.md.

Mantén junto todo el directorio del análisis al compartirlo o archivarlo. Para buscar mejoras que aborden patrones comunes en los informes, continúa con Proponer medidas de refuerzo de seguridad.