For the complete documentation index, see llms.txt. Markdown versions of documentation pages are available by appending .md to the page URL.
メインナビゲーション
Theme
Codex

Codex use case

未対応の脆弱性の修正

レビュー済みの指摘に最小限の変更で対応し、問題が再現しないことを示します。

Difficulty Advanced
Time horizon 1h

チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。

Best for

  • Codex Security、Linear や Jira のチケット、GitHub Security Advisories、HackerOne や Bugcrowd のレポート、ペネトレーションテスト、社内のセキュリティレビューなどを通じて報告された指摘のレビューを終えたチーム
  • パッチごとに差分を最小限に抑え、検証を繰り返し実行できるようにする必要がある脆弱性バックログ
  • セキュリティ上の修正を、より広範なリファクタリングやコードの整理と切り分けたいメンテナー

Contents

    ← All use cases

    未対応の脆弱性の修正

    レビュー済みの指摘に最小限の変更で対応し、問題が再現しないことを示します。

    チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。

    Advanced
    1h

    チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。

    Advanced
    1h

    Best for

    • Codex Security、Linear や Jira のチケット、GitHub Security Advisories、HackerOne や Bugcrowd のレポート、ペネトレーションテスト、社内のセキュリティレビューなどを通じて報告された指摘のレビューを終えたチーム
    • パッチごとに差分を最小限に抑え、検証を繰り返し実行できるようにする必要がある脆弱性バックログ
    • セキュリティ上の修正を、より広範なリファクタリングやコードの整理と切り分けたいメンテナー

    Skills & Plugins

    • 確認済みの指摘、または問題があると考える根拠のある指摘を 1 件取り上げ、セキュリティ上の問題を修正します。対象を絞ったテストや問題の再現時に得られた証拠を使って、修正の効果を確かめます。
    Skill Why use it
    Codex Security:fix Finding 確認済みの指摘、または問題があると考える根拠のある指摘を 1 件取り上げ、セキュリティ上の問題を修正します。対象を絞ったテストや問題の再現時に得られた証拠を使って、修正の効果を確かめます。

    Starter prompt

    $codex-security:fix-finding を使って、この指摘で報告されたセキュリティ上の問題を修正し、再現しなくなったことを確認してください。 報告元:[Codex Security report / Linear or Jira ticket / GitHub Security Advisory / HackerOne or Bugcrowd report / other authorized source] 指摘のタイトルと影響を受けるコンポーネント:[finding title and component] 脆弱性に関わるソース、シンク、または機能していないセキュリティ制御:[known path or unknown] 攻撃者が制御できる入力とその影響:[input, prerequisites, and impact] 維持すべきセキュリティ不変条件:[behavior the fix must enforce] 既存の検証資料:[report path, PoC, reproducer, test, or validation notes] 影響を受けるファイルと行:[paths and lines, or unknown] 制約:[supported behavior to preserve, test command, rollout requirement, or none] 要件: - 可能であれば、コードを変更する前に問題がまだ存在することを確認してください。 - 意図したセキュリティ不変条件を満たすために必要な最小限の変更を加えてください。 - 問題に的を絞った回帰テストを追加するか、検証を繰り返せる資料のうち、修正の効果を最も確実に示せるものを追加してください。 - 正当な利用時の動作が保たれ、元の問題が再現しなくなったことを確認してください。 - バックログにある無関係な指摘への対応やリファクタリングは、この変更に含めないでください。 変更したファイル、テストまたは検証資料、実行したコマンドの正確な内容と結果、元の問題が再現しなくなったことを示す証拠、まだ確証が得られていない点を報告してください。問題がすでに修正されている場合は、その証拠を示し、コードは変更しないでください。
    $codex-security:fix-finding を使って、この指摘で報告されたセキュリティ上の問題を修正し、再現しなくなったことを確認してください。 報告元:[Codex Security report / Linear or Jira ticket / GitHub Security Advisory / HackerOne or Bugcrowd report / other authorized source] 指摘のタイトルと影響を受けるコンポーネント:[finding title and component] 脆弱性に関わるソース、シンク、または機能していないセキュリティ制御:[known path or unknown] 攻撃者が制御できる入力とその影響:[input, prerequisites, and impact] 維持すべきセキュリティ不変条件:[behavior the fix must enforce] 既存の検証資料:[report path, PoC, reproducer, test, or validation notes] 影響を受けるファイルと行:[paths and lines, or unknown] 制約:[supported behavior to preserve, test command, rollout requirement, or none] 要件: - 可能であれば、コードを変更する前に問題がまだ存在することを確認してください。 - 意図したセキュリティ不変条件を満たすために必要な最小限の変更を加えてください。 - 問題に的を絞った回帰テストを追加するか、検証を繰り返せる資料のうち、修正の効果を最も確実に示せるものを追加してください。 - 正当な利用時の動作が保たれ、元の問題が再現しなくなったことを確認してください。 - バックログにある無関係な指摘への対応やリファクタリングは、この変更に含めないでください。 変更したファイル、テストまたは検証資料、実行したコマンドの正確な内容と結果、元の問題が再現しなくなったことを示す証拠、まだ確証が得られていない点を報告してください。問題がすでに修正されている場合は、その証拠を示し、コードは変更しないでください。

    レビュー済みの指摘事項の個別修正

    セキュリティ上の指摘事項について、修正範囲と対応方針を決めるのに十分な証拠がそろったら、このワークフローを使います。指摘事項の情報源には、Codex Security プラグイン、Linear や Jira などの課題管理システム、GitHub Security Advisories、HackerOne や Bugcrowd などの脆弱性報告プラットフォーム、内部レビュー、その他の承認済みの情報源があります。情報源との接続に対応している場合は接続します。または、報告書、チケット、アドバイザリのいずれかを提示し、可能な限り、影響を受けるコードと証拠を添えます。

    多数の指摘事項を含むバックログを Codex に渡し、すべてを一度に修正するよう依頼するのは避けてください。1 件ずつ対応すれば、常に満たすべきセキュリティ条件、パッチ、検証結果を指摘事項ごとにレビューできます。

    証拠に基づく 1 件ごとの対応完了

    1. Codex Security、チケット管理システム、セキュリティアドバイザリ、脆弱性報告プラットフォーム、またはチームが修正対応に使うことを認めているその他の情報源から、指摘事項を 1 件選びます。
    2. 元の報告を参照するための情報、問題の発生源または機能していないセキュリティ対策、攻撃者が制御できる入力、影響を受けるファイル、問題を再現できたことを示す証拠、期待される安全な動作を提示するか、情報源から取得します。
    3. $codex-security:fix-finding に、問題を再現または検証してから必要最小限のパッチを作成するよう依頼します。すでに修正済みの場合は、コードの変更は不要だと報告するよう依頼します。
    4. 回帰テストまたは検証時の成果物をパッチと併せてレビューします。
    5. 正当な利用時の動作が引き続きサポートされ、以前は脆弱性があった経路で問題が再現しなくなったことを確認します。
    6. 次の指摘事項を選ぶ前に、まだ確かめられていない点を記録します。

    監査に備えたバックログの記録

    対応を完了した項目ごとに、元のチケット、アドバイザリ、報告書のいずれかの参照先、コードの正確な変更内容、実施したチェック、証拠が不足している点を記録します。Codex が問題を修正済みと確認した場合や、問題を再現できなかった場合は、不要なコード変更を加えず、その判断の根拠を記録します。

    指摘事項を扱うワークスペースと、プロンプトを使って修正を進める方法については、セキュリティ上の指摘事項の修正と検証を参照してください。

    Related use cases