Exportez les constats d’une analyse terminée pour les utiliser dans un autre outil. Pour suivre les correctifs ou coordonner la divulgation, demandez à Codex de préparer un ticket ou un brouillon privé d’avis de sécurité GitHub.
Exporter un artefact portable
Dans l’application de bureau ChatGPT, ouvrez une analyse terminée depuis Sécurité > Analyses. Sous Artefacts, sélectionnez Constats au format JSON pour ouvrir les constats structurés, ou Rapport SARIF si l’analyse en a produit un. Les artefacts disponibles dépendent de la version de l’application et de celle du plugin.
Lorsque Codex vous propose d’exporter les constats de l’analyse, indiquez le format souhaité : JSON, CSV ou SARIF. Pour les exporter depuis un terminal, utilisez le répertoire de l’analyse enregistrée avec la commande d’export de la CLI.
| Format | Utilisation |
|---|---|
| JSON | Conserver les constats structurés et scellés pour les exploiter dans des outils ou des scripts. |
| CSV | Examiner les constats dans un tableur. |
| SARIF | Transmettre les constats aux outils qui prennent en charge le format d’échange SARIF. |
Pour inclure le dernier statut de triage, les motifs de clôture ou vos notes, exportez un fichier CSV depuis le plugin après avoir apporté ces modifications. Ouvrez exports/findings.csv dans le répertoire de l’analyse. La CLI exporte l’analyse enregistrée sans les mises à jour locales du triage.
Depuis une analyse terminée, ouvrez les données de couverture, les constats, le manifeste de l’analyse, le rapport Markdown ou l’artefact SARIF.
Sélectionnez Rapport Markdown pour ouvrir report.md dans l’éditeur que vous avez configuré.
Consultez le rapport Markdown généré pour examiner le périmètre de l’analyse, le modèle de menace, les constats validés et les liens vers les rapports détaillés.
Conservez tout le répertoire de l’analyse lorsque vous archivez le rapport. Le suivi nécessite les fichiers scan-manifest.json et findings.json d’origine. Si vous devez modifier les constats, faites d’abord une copie de findings.json.
Suivre une sélection de constats
Utilisez $codex-security:track-findings avec un ou plusieurs constats validés issus de la même analyse terminée. Choisissez une seule destination par exécution.
| Destination | Informations à fournir |
|---|---|
| Ticket Linear | Équipe et, éventuellement, projet |
| Issue GitHub | Propriétaire et dépôt |
| Ticket Jira | Site, projet et type de ticket dans l’application Atlassian |
| Brouillon privé d’avis de sécurité GitHub | Un seul constat et le dépôt source public correspondant sur GitHub.com |
Utilisez $codex-security:track-findings pour préparer un brouillon de ticket Linear pour l’équipe [team]
au sujet du constat [finding ID] dans [completed scan directory].Pour traiter plusieurs constats à la fois, indiquez leurs identifiants dans votre demande. Pour suivre des constats dans Jira, connectez l’application Atlassian dans Codex. Vérifiez qui peut lire les tickets du projet. Pour créer un ticket, vous devez disposer des autorisations de consultation du projet et de création de tickets. Pour réutiliser un ticket existant, vous devez pouvoir le lire. Pour le mettre à jour, vous devez pouvoir le lire et le modifier.
Pour préparer un brouillon d’avis de sécurité, connectez-vous à GitHub.com via GitHub CLI (gh) avec un compte disposant des droits d’administration sur le dépôt source. Ce dépôt doit être public et ne doit pas être un fork. Sélectionnez un seul constat issu d’une analyse qui cible une révision Git (git_revision). Les analyses qui portent sur les différences entre commits ne sont pas admissibles. Préparez le nom du paquet, son écosystème et la liste des versions concernées.
Vérifier le ticket ou l’avis de sécurité
- Vérifiez l’analyse d’origine, les constats sélectionnés et le compte connecté. Confirmez la destination et vérifiez qui peut en consulter le contenu. Utilisez une destination privée pour les constats sensibles. Pour une issue GitHub interne ou publique, la divulgation doit être explicitement approuvée.
- Vérifiez si Codex propose de créer, de réutiliser ou de mettre à jour un ticket. Pour un avis de sécurité, Codex peut créer un brouillon privé ou réutiliser un avis correspondant, qu’il soit encore à l’état de brouillon ou déjà publié.
- Lisez le titre et le contenu, puis vérifiez les emplacements indiqués dans le code source. Un brouillon d’avis de sécurité peut devenir public. Supprimez les identifiants de connexion, les éléments de preuve privés et les détails superflus sur l’exploitation de la vulnérabilité.
- Approuvez l’aperçu dans la conversation avec Codex avant que Codex crée ou mette à jour le ticket ou l’avis. Si l’aperçu change, vérifiez-le et approuvez-le de nouveau.
Enregistrez l’identifiant ou le lien du ticket fourni par l’outil de suivi, même si Codex ne parvient pas à rouvrir le ticket. Pour un nouvel avis de sécurité, Codex vérifie que le brouillon correspond à ce que vous avez approuvé.
Si Codex ne peut pas déterminer s’il a créé ou mis à jour un ticket ou un avis, il interrompt le traitement du lot. Avant de réessayer, recherchez le ticket ou l’avis dans l’outil de suivi et demandez à Codex quels constats il n’a pas encore tenté de traiter.
Lorsque la personne responsable accepte de prendre en charge la correction, passez à l’étape Corriger et vérifier un constat.