$codex-security:vulnerability-writeup을 사용해 취약점마다 독립적으로 읽을 수 있는 보고서를 작성하세요. Codex Security 스캔 결과로 시작하거나 제공된 보안 이슈, 취약점 공개 관련 메모, PoC, 소스 코드를 바로 사용할 수 있습니다. Codex Security 스캔은 필수가 아닙니다.
근거 자료 준비하기
워크플로우에 다음 자료를 제공하세요.
- 검토할 보안 이슈, 취약점 공개 관련 메모 또는 평가 문서
- 대상 소스 트리와 취약점의 영향을 받는 리비전 또는 릴리스
- 기존 PoC, 로그, 트레이스, 스크린샷 또는 진단 출력
- 수정 커밋이나 diff(있는 경우)
Codex는 보고서를 작성하기 전에 취약점의 영향을 받는 소스 코드와 대조해 각 주장을 검증합니다. 소스 코드나 해당 리비전을 확보할 수 없다면 검증하지 못한 주장을 명시하는 조건으로 보고서를 작성할지 결정하세요.
워크플로우 실행하기
다음과 같은 프롬프트를 보내세요.
$codex-security:vulnerability-writeup 스킬을 사용해 [input paths]의 자료에 나온 취약점마다 독립적으로 읽을 수 있는 보고서를 하나씩 작성하세요. 각 주장을 [source path and revision]에 해당하는 소스 코드와 대조해 검증하세요. 제공된 PoC를 유지하거나 개선하고 보고서를 [output directory]에 저장하세요. 취약점을 재현할 때는 로컬 테스트 환경을 사용하세요.Codex는 제공된 자료의 목록을 작성하고, 근본 원인과 취약한 코드 경로가 모두 같은 보고서를 한데 묶은 뒤 취약점마다 보고서 디렉터리를 하나씩 만듭니다. 각 디렉터리에는 Markdown 보고서가 들어갑니다. PoC 관련 파일이 있으면 poc/ 디렉터리도 포함됩니다.
각 보고서 검토하기
보고서를 배포하기 전에 다음 사항을 확인하세요.
- 공격자가 제어하는 진입점에서 시작해 어떤 경로로 버그가 보안 불변 조건을 깨뜨리고 어떤 영향을 미치는지 설명했는지 확인하세요.
- 검증된 동작을 가설 및 아직 해결되지 않은 제약 사항과 구분했는지 확인하세요.
- 소스 코드 발췌문에 파일 경로, 함수, 영향을 받는 리비전을 명시했는지 확인하세요.
- PoC 작성이 현실적으로 가능한 경우 PoC 소스 코드, 빌드 또는 실행 방법, 대표 출력 예시, 안전한 사용을 위한 제한 사항을 포함했는지 확인하세요.
- 다른 환경에서도 사용할 수 있는 경로를 사용하고 내부 저장소나 로컬 절대 경로에 의존하지 않는지 확인하세요.
스캔 보고서 활용하기
표준 스캔, 심층 스캔, 변경 사항 스캔에서는 상세 취약점 보고서를 선택적으로 요청할 수 있습니다. 요청하면 Codex는 각 보고서를 findings/<slug>/<slug>.md에 작성하고 관련 파일을 findings/<slug>/poc/에 저장한 뒤 report.md에 해당 보고서 링크를 추가합니다.
스캔 결과를 공유하거나 보관할 때는 스캔 디렉터리 전체를 한데 묶어 두세요. 여러 보고서에 공통으로 나타나는 패턴을 해결할 개선 방안을 찾으려면 보안 강화 방안 제안하기를 참고하세요.