백로그 분류하기

$codex-security:triage-finding을 사용하여 현재 리포지토리를 기준으로 기존 보안 발견 사항을 검토하세요. 이 워크플로는 읽기 전용 정적 분석을 수행합니다. Codex는 각 발견 사항을 입증되지 않은 주장으로 취급하며 코드를 실행하지 않고 리포지토리의 증거를 조사합니다.

평가하려는 리포지토리로 범위가 지정된 Codex 프로젝트에서 이 워크플로를 실행하세요. Codex가 리포지토리의 소스 코드를 읽을 수 있어야 합니다. Jira 및 Linear 커넥터는 발견 사항 데이터를 제공할 수 있지만, GitHub 발견 사항에는 인증된 GitHub REST 액세스가 필요합니다. 어느 쪽도 소스 코드 액세스를 대체하지 않습니다.

이는 코드를 빌드하거나 실행하고, 테스트 또는 개념 증명을 만들거나 실제 인터페이스를 조작하여 발견 사항을 재현하거나 반증할 수 있는 $codex-security:validation과 다릅니다. 기존 백로그를 분류하고 우선순위를 정하려면 분류 작업을 사용하세요. 정적 근거만으로는 불확실한 발견 사항을 런타임 근거로 판단할 수 있다면 검증을 사용하세요.

트리아지할 발견 사항 선택하기

다음 소스에서 발견 사항 하나 또는 모음을 제공할 수 있습니다.

Codex는 제공된 모든 발견 사항에 대해 입력 순서대로 결과 하나씩을 유지하므로 각 소스 발견 사항을 추적할 수 있습니다. 중복으로 보이는 발견 사항도 병합하거나 제외하지 않습니다.

읽기 전용 트리아지 실행하기

붙여 넣은 발견 사항이나 로컬 아티팩트의 경우 다음과 같은 프롬프트를 보내세요.

Use $codex-security:triage-finding to triage these existing security findings against this repository:

[Paste the findings or provide the artifact path.]

Jira 또는 Linear 이슈의 경우 이슈 집합을 식별하고 소스 시스템을 읽기 전용으로 유지하세요.

Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.

GitHub 발견 사항의 경우 리포지토리와 소스를 지정하세요.

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.

현재 Codex 프로젝트에 연결된 GitHub 리포지토리를 사용하려면 발견 사항 소스만 지정하세요.

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.

Codex는 현재 소스와 적용되는 SECURITY.md 정책을 확인한 후 입력된 모든 발견 사항에 대해 판정을 반환합니다. 주장을 뒷받침하는 근거와 반박하는 근거를 모두 기록하고, 해결되지 않은 질문도 함께 기록합니다.

결과 검토하기

순위를 참고하여 어떤 confirmed 발견 사항을 먼저 수정하고 어떤 needs_review 발견 사항을 먼저 조사할지 결정하세요. 각 그룹의 순위는 별도로 매겨집니다.

판정 근거를 영향받는 코드 및 공격에 필요한 사전 조건과 함께 읽어보세요. 순위에 따라 조치하기 전에 주장을 반박하는 근거와 미해결 질문을 확인하세요. 여기서 confirmed는 정적 리포지토리 근거로 뒷받침된다는 뜻이며, 애플리케이션을 실행하여 재현했다는 뜻은 아닙니다.

분류 결과를 검토한 후 Codex에 업데이트를 요청하지 않는 한, Jira, Linear 및 기타 백로그 기록은 변경되지 않습니다.

다음 단계

• confirmed: 사람이 발견 사항을 수정 대상으로 수용한 후 $codex-security:fix-finding을 사용하여 수정하고 검증하세요. 분류 작업은 프롬프트로 바로 사용할 수 있는 인계 내용을 준비하지만 스킬을 자동으로 호출하지는 않습니다.
• needs_review: 코드를 실행하여 입증되지 않은 부분을 해소할 수 있다면 $codex-security:validation을 사용하여 실행 중인 코드에서 발견 사항을 테스트하세요. 분류 결과에 있는 발견 사항의 주장, 영향받는 위치, 사전 조건, 정적 근거, 입증되지 않은 부분을 전달하세요.

  Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.

분류 작업과 달리 검증은 코드를 빌드하거나 실행하고, 테스트 또는 개념 증명을 만들거나 실제 인터페이스를 조작할 수 있습니다. 실행 제어는 Codex 승인 및 보안 정책을 참조하세요.

• needs_review: 발견 사항이 제품 정책이나 배포 환경에 따라 달라진다면 코드를 변경하기 전에 나열된 미해결 질문에 답하세요.
• not_actionable: 근거를 분류 기록과 함께 보관하세요. Codex는 원본 티켓을 자동으로 종료하거나 업데이트하지 않습니다.
• 제공된 백로그 외의 취약점을 찾으려면 보안 스캔을 실행하세요.