セキュリティ検出事項のエクスポートと追跡

完了した Codex Security スキャンを、次の 2 種類の引き継ぎ元として使用します。

• エクスポートでは、移植可能な JSON、CSV、または SARIF ファイルを作成します。
• 検出事項の追跡では、選択した検出事項を Linear、GitHub、または Jira の課題、あるいは非公開の GitHub Security Advisory ドラフト 1 件として準備し、重複を確認したうえで、書き込み前に承認を待ちます。

これらのワークフローでは、封印されたスキャンバンドルは変更されません。

移植可能なアーティファクトをエクスポートする

デスクトップアプリで、Security > Scans から完了済みのスキャンを開きます。利用可能なアーティファクトリンクを使用して、report.md、findings.json、 scan-manifest.json、coverage.json、または存在する場合は SARIF レポートを確認します。

サポートされている別の形式を作成するには、封印されたバンドルを変更せずに、完了したスキャンから検出事項をエクスポートするよう Codex に依頼します。

Export the findings from [completed scan directory] as [JSON, CSV, or SARIF]. Do not modify the sealed scan bundle or upload its contents.

出力先に適した形式を選択します。

Markdown report を選択すると、設定済みの外部エディターで report.md が開きます。

返されたアーティファクトパスを使用します。別のツールで完全なスキャンコンテキストが必要な場合は、元の scan-manifest.json、findings.json、 coverage.json をまとめて保持してください。エクスポートによって、検出事項がコードスキャンサービスにアップロードされることはありません。

選択した検出事項を追跡する

$codex-security:track-findings ワークフローでは、1 件の検証済み検出事項、または 1 つの封印されたスキャンから明示的に選択した最大 25 件の検出事項を、課題追跡に使用できます。GitHub Security Advisory のドラフトで使用できる検出事項は 1 件のみです。 1 回の実行では、1 つのプロバイダーと 1 つの出力先を使用します。

Linear の場合は、次のようなプロンプトを送信します。

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for the Linear team [team] and project [project, if
any]. Check for duplicates and show me the exact issue title, body, metadata,
and destination. Do not create or update anything until I approve that payload.

GitHub の課題の場合は、次を送信します。

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for GitHub repository [owner/repository]. Check open
and closed issues for duplicates and show me the exact issue title, body,
metadata, repository visibility, and authenticated transport. Do not create or
update anything until I approve that payload.

Jira の場合は、次を送信します。

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for Jira project [project key] as [issue type].
Check for duplicates and show me the exact issue summary, description,
metadata, and destination. Do not create or update anything until I approve
that payload.

Jira での追跡には、Codex の Atlassian Rovo プラグインが必要です。課題を再利用するには読み取りアクセスが必要で、課題を作成または更新するには読み取りおよび書き込みアクセスが必要です。

非公開の GitHub Security Advisory ドラフトの場合は、次を送信します。

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] as a private draft GitHub Security Advisory in
[owner/repository]. Verify the sealed source revision, repository, affected
paths, package metadata, and duplicate state. Show me the exact advisory
payload, authenticated GitHub CLI identity, and disclosure warnings. Do not
create anything until I approve that payload.

提案された書き込みを確認する

1. 検出事項 ID とフィンガープリントが、意図した封印済みスキャンから取得されたことを確認します。
2. プロバイダー、正確な Linear チーム、GitHub リポジトリ、Jira プロジェクト、またはアドバイザリのリポジトリ、および実際の出力先の公開範囲を確認します。
3. 重複確認の結果（create、reuse、update、または blocked）を確認します。
4. 提案されたタイトル、本文、ソース位置、プロバイダーのメタデータをすべて確認します。出力先で公開すべきでない悪用の詳細や内部証拠は削除してください。
5. その正確なペイロードだけを承認します。出力先、公開範囲、検出事項のセット、または本文が変更された場合は、新しいプレビューが必要です。

機密性の高い検出事項は、非公開の出力先に送信してください。内部または公開の GitHub リポジトリに課題を作成するには、公開範囲に関する明示的な警告と、完全な内容の承認が必要です。アドバイザリのドラフトの説明は最終的に公開されるものとして扱い、承認前に認証情報、非公開の証拠、不要な悪用の詳細を削除してください。

Codex の会話内で外部アクションを確認し、承認します。承認しても、 Security ワークベンチに個別の課題またはアドバイザリ画面が作成されるわけではありません。

追跡対象の項目を検証する

承認後、Codex は封印されたソース、出力先、アクセス権、重複状態を再検証します。バッチは直列に処理され、最初の不確実な結果で停止します。作成、更新、または再利用は、Codex が該当する課題を読み戻し、その関連付け識別子と内容を検証した場合にのみ完了します。

返された canonical 課題またはアドバイザリの URL をトリアージ記録とともに保管してください。担当者が項目の修正を受け入れたら、検出事項の修正と検証 に進みます。