Usa $codex-security:triage-finding para revisar los hallazgos de seguridad existentes a partir del código del repositorio actual. Este flujo de trabajo realiza un análisis estático de solo lectura. Codex trata cada hallazgo como una afirmación por comprobar y examina la evidencia del repositorio sin ejecutar el código.
Ejecuta este flujo de trabajo desde un proyecto de Codex cuyo alcance se limite al repositorio que quieres evaluar. Codex debe poder leer el código fuente del repositorio. Los conectores de Jira y Linear pueden proporcionar datos sobre los hallazgos. Para obtener los de GitHub, se requiere acceso autenticado a la API REST de GitHub. En ambos casos, Codex también necesita acceso al código fuente.
En cambio, $codex-security:validation puede compilar o ejecutar código, crear una prueba o una prueba de concepto, o probar una interfaz real para reproducir o refutar un hallazgo. Usa la evaluación inicial para clasificar los hallazgos pendientes y ordenarlos por prioridad. Usa la validación cuando la evidencia obtenida en tiempo de ejecución pueda aclarar un hallazgo que la evidencia estática deja en duda.
La evaluación inicial parte de hallazgos existentes. Para buscar nuevas vulnerabilidades en el repositorio, ejecuta un análisis de seguridad. La evaluación inicial no modifica el repositorio ni implementa correcciones.
Elige los hallazgos que quieres evaluar
Puedes proporcionar uno o varios hallazgos de las siguientes fuentes.
| Fuente | Qué debes proporcionar | Requisitos |
|---|---|---|
| Hallazgos pegados o locales | Resultados en formato SARIF, un CVE o un GHSA, un aviso de seguridad, un ticket generado por un escáner, un informe de un programa de recompensas por vulnerabilidades, un artefacto de Codex Security que contenga un hallazgo o una descripción en lenguaje sencillo de una posible vulnerabilidad. | No se requiere ningún conector. |
| Jira o Linear | Las URL o los identificadores exactos de incidencias de seguridad o vulnerabilidades, una consulta JQL de Jira, o un equipo, un proyecto o una frase de búsqueda de Linear. Codex recupera el contenido de las incidencias seleccionadas antes de evaluarlas. | Jira a través de Atlassian Rovo o Linear con acceso de lectura. |
| GitHub | Un repositorio y una fuente de hallazgos. Puedes elegir el análisis de código, las vulnerabilidades y el malware detectados por Dependabot, los avisos de seguridad y los informes privados de vulnerabilidades, o todas las fuentes. Si no especificas un repositorio, Codex usa el repositorio de GitHub vinculado al proyecto actual de Codex, si está disponible. Los Issues de GitHub no se incluyen de forma predeterminada. Indica un Issue de GitHub específico o pide expresamente que se incluyan los Issues de GitHub. |
Acceso autenticado a la API REST de GitHub, por ejemplo mediante gh auth token, GH_TOKEN o GITHUB_TOKEN, con permiso para leer el repositorio y el tipo de hallazgo seleccionados. |
Codex conserva un resultado por cada hallazgo que proporcionas y respeta el orden de entrada para que puedas rastrear cada resultado hasta su origen. No combina ni descarta hallazgos que parecen duplicados.
Ejecuta una evaluación de solo lectura
Para evaluar hallazgos que pegues directamente o artefactos locales, envía un prompt como este.
Usa $codex-security:triage-finding para evaluar y priorizar estos hallazgos de seguridad existentes a partir del código de este repositorio:
[Paste the findings or provide the artifact path.]Para las incidencias de Jira o Linear, indica cuáles quieres evaluar y usa el sistema de origen en modo de solo lectura.
Usa $codex-security:triage-finding para importar los hallazgos de seguridad de [Jira or Linear issue URLs, identifiers, or query] y evaluarlos y priorizarlos a partir del código de este repositorio.
No modifiques las incidencias de origen.Para los hallazgos de GitHub, indica el repositorio y la fuente.
Usa $codex-security:triage-finding para importar los hallazgos de [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] del repositorio [owner/repository]. Evalúalos y priorízalos a partir del código de este repositorio.Para usar el repositorio de GitHub vinculado al proyecto actual de Codex, indica solo la fuente de los hallazgos.
Usa $codex-security:triage-finding para importar de GitHub los hallazgos de [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all]. Evalúalos y priorízalos a partir del código de este repositorio. Usa el repositorio de GitHub vinculado al proyecto actual de Codex.Codex revisa el código fuente actual y la política aplicable de SECURITY.md. Luego emite un veredicto para cada hallazgo que proporcionaste. Registra tanto la evidencia que respalda la afirmación como la que la contradice, junto con las preguntas pendientes.
Revisa los resultados
| Veredicto | Significado |
|---|---|
confirmed |
La evidencia del repositorio demuestra que, bajo las condiciones previas indicadas, es posible alcanzar la ruta de ejecución vulnerable y que esa ruta cruza un límite de seguridad que el proyecto se compromete a proteger. |
not_actionable |
La evidencia del repositorio descarta la afirmación. Por ejemplo, muestra que la versión no está afectada, que la ruta de ejecución es inaccesible, que existe una protección eficaz o que la superficie afectada no se distribuye con el producto. |
needs_review |
La evidencia del repositorio no permite emitir un veredicto definitivo porque falta información necesaria, la información es ambigua o depende de la ejecución, del entorno o de una política. |
Usa el orden de prioridad para decidir qué hallazgos con el veredicto confirmed corregir primero y qué hallazgos con el veredicto needs_review investigar primero. Codex asigna las prioridades dentro de cada grupo por separado.
Revisa la justificación del veredicto junto con el código afectado y las condiciones que tendría que cumplir un atacante. Antes de actuar según la prioridad asignada, contrasta la evidencia con la afirmación y revisa las preguntas pendientes. En este contexto, confirmed indica que la evidencia estática del repositorio respalda el hallazgo, sin que se haya reproducido al ejecutar la aplicación.
Los registros de Jira, Linear y otros sistemas de seguimiento de hallazgos pendientes se mantienen sin cambios, a menos que le pidas a Codex que los actualice después de revisar los resultados de la evaluación.
Próximos pasos
-
confirmed: una vez que una persona acepte el hallazgo para su corrección, usa$codex-security:fix-findingpara corregirlo y verificar la corrección. La evaluación inicial prepara la información que necesitas para continuar con un prompt, pero no invoca la habilidad automáticamente. -
needs_review: si ejecutar el código puede aportar la evidencia que falta, usa$codex-security:validationpara comprobar el hallazgo con el código en ejecución. Incluye los siguientes datos del resultado de la evaluación inicial: la afirmación sobre el hallazgo, las ubicaciones afectadas, las condiciones previas, la evidencia estática y lo que queda por demostrar.Usa $codex-security:validation para validar en tiempo de ejecución el hallazgo [triage item ID or source ID] que figura en el resultado de la evaluación inicial de los hallazgos pendientes. Reproduce o refuta el hallazgo, registra qué probaste y enumera las dudas que queden.A diferencia de la evaluación inicial, la validación puede compilar o ejecutar código, crear una prueba o una prueba de concepto, o probar una interfaz real. Para conocer los controles de ejecución, consulta las políticas de aprobación y seguridad de Codex.
-
needs_review: si el hallazgo depende de una política del producto o del contexto de despliegue, responde las preguntas pendientes que figuran en el resultado antes de cambiar el código. -
not_actionable: conserva la evidencia junto con el registro de la evaluación inicial. Codex no cierra ni actualiza automáticamente el ticket de origen. -
Para buscar vulnerabilidades más allá de los hallazgos pendientes que proporcionaste, ejecuta un análisis de seguridad.