Use $codex-security:triage-finding para avaliar os achados de segurança existentes com base no repositório atual. Nesse fluxo, o Codex faz uma análise estática somente leitura. Ele trata cada achado como uma hipótese a verificar e examina as evidências do repositório sem executar o código.
Execute esse fluxo em um projeto do Codex cujo escopo esteja limitado ao repositório que você quer avaliar. O Codex precisa ter acesso de leitura ao código-fonte do repositório. Os conectores do Jira e do Linear podem fornecer dados sobre os achados. Para obter achados do GitHub, é preciso ter acesso autenticado à API REST do GitHub. Em ambos os casos, o acesso ao código-fonte continua sendo necessário.
Esse fluxo difere de $codex-security:validation, que pode compilar ou executar código, criar um teste ou uma prova de conceito ou testar uma interface real para reproduzir ou refutar um achado. Use a triagem para classificar e priorizar os achados de um backlog existente. Use a validação quando as evidências obtidas durante a execução puderem esclarecer um achado sobre o qual a análise estática deixou dúvidas.
A triagem do backlog parte de achados existentes. Para procurar novas vulnerabilidades no repositório, execute uma varredura de segurança. A triagem não modifica o repositório nem implementa correções.
Escolha os achados para a triagem
Você pode fornecer um único achado ou um conjunto de achados das seguintes fontes:
| Fonte | O que fornecer | Requisitos |
|---|---|---|
| Achados colados no prompt ou disponíveis localmente | Resultados SARIF, um CVE ou GHSA, um aviso de segurança, um chamado gerado por uma ferramenta de varredura, um relatório de um programa de recompensas por vulnerabilidades, um artefato de achado do Codex Security ou um relato de possível vulnerabilidade em linguagem simples. | Nenhum conector é necessário. |
| Jira ou Linear | URLs ou identificadores exatos de issues de segurança ou vulnerabilidade, uma consulta JQL do Jira ou uma equipe, um projeto ou uma expressão de busca do Linear. O Codex recupera o conteúdo das issues selecionadas antes da triagem. | Jira via Atlassian Rovo ou Linear com acesso de leitura. |
| GitHub | Um repositório e uma fonte de achados: varredura de código, vulnerabilidades e malware detectados pelo Dependabot, avisos de segurança e relatórios privados de vulnerabilidades, ou todas essas fontes. Se você não especificar um repositório, o Codex usará o repositório do GitHub vinculado ao projeto atual do Codex, se houver. Por padrão, as issues do GitHub ficam fora da triagem. Indique uma issue específica ou peça explicitamente a inclusão das issues do GitHub. |
Acesso autenticado à API REST do GitHub, por exemplo, com gh auth token, GH_TOKEN ou GITHUB_TOKEN, com permissão de leitura para o repositório e o tipo de achado selecionados. |
O Codex mantém um resultado para cada achado, na ordem em que você os forneceu. Assim, é possível rastrear cada resultado até o achado original. O Codex não agrupa nem descarta achados que pareçam duplicados.
Execute a triagem somente leitura
Para achados colados no prompt ou artefatos locais, envie um prompt como este:
Use $codex-security:triage-finding para fazer a triagem dos seguintes achados de segurança existentes com base neste repositório:
[Paste the findings or provide the artifact path.]Para issues do Jira ou do Linear, indique o conjunto de issues e peça que o Codex use o sistema de origem apenas para leitura:
Use $codex-security:triage-finding para importar os achados de segurança das issues indicadas por [Jira or Linear issue URLs, identifiers, or query] e fazer a triagem com base neste repositório.
Não altere as issues de origem.Para achados do GitHub, indique o repositório e a fonte:
Use $codex-security:triage-finding para importar os achados de [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] do repositório [owner/repository] e fazer a triagem com base neste repositório.Para usar o repositório do GitHub vinculado ao projeto atual do Codex, especifique apenas a fonte dos achados:
Use $codex-security:triage-finding para importar do GitHub os achados de [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] e fazer a triagem com base neste repositório. Use o repositório do GitHub vinculado ao projeto atual do Codex.O Codex verifica o código-fonte atual e a política aplicável em SECURITY.md e emite um parecer para cada achado fornecido. Ele registra as evidências que sustentam ou contradizem a hipótese e as questões que continuam em aberto.
Analise os resultados
| Parecer | Significado |
|---|---|
confirmed |
As evidências do repositório mostram que, nas condições prévias descritas, é possível alcançar o caminho de código vulnerável e que esse caminho atravessa um limite de segurança que o projeto se compromete a proteger. |
not_actionable |
As evidências do repositório descartam a hipótese. Por exemplo, podem mostrar que a versão não é afetada, que o caminho de código é inacessível, que há uma proteção eficaz ou que o componente em questão não é distribuído. |
needs_review |
As evidências do repositório não permitem chegar a uma conclusão. Alguma informação necessária está ausente, é ambígua ou depende da execução, do ambiente ou de uma política. |
Use a ordem de prioridade para decidir quais achados confirmed corrigir primeiro e quais achados needs_review investigar primeiro. O Codex prioriza os achados de cada grupo separadamente.
Analise a justificativa do parecer em conjunto com o código afetado e os pré-requisitos que um invasor teria de atender. Antes de agir com base na prioridade, verifique se as evidências sustentam a hipótese e examine as questões em aberto. Aqui, confirmed indica que as evidências estáticas do repositório sustentam o achado. A triagem não executa o aplicativo para reproduzi-lo.
Os registros do Jira, do Linear e de outros sistemas de backlog permanecem inalterados, a menos que você peça ao Codex que os atualize depois de analisar os resultados da triagem.
Próximas etapas
-
confirmed: Depois que uma pessoa aceitar o achado para correção, use$codex-security:fix-findingpara corrigir o problema e verificar a correção. A triagem prepara as informações para uso em um prompt, mas não aciona a habilidade automaticamente. -
needs_review: Se a execução do código puder fornecer a evidência que falta, use$codex-security:validationpara testar o achado com o código em execução. Inclua as seguintes informações do resultado da triagem: a hipótese, os locais afetados, as condições prévias, as evidências estáticas e o que ainda precisa ser comprovado.Use $codex-security:validation para validar em tempo de execução o achado [triage item ID or source ID] do resultado da triagem do backlog. Reproduza ou refute o achado, registre o que você testou e liste as dúvidas que ainda restarem.Ao contrário da triagem, a validação pode compilar ou executar código, criar um teste ou uma prova de conceito ou testar uma interface real. Consulte as políticas de aprovação e segurança do Codex para saber quais controles se aplicam à execução.
-
needs_review: Se o achado depender de uma política do produto ou do contexto de implantação, responda às questões em aberto listadas no resultado antes de alterar o código. -
not_actionable: Mantenha as evidências junto ao registro da triagem. O Codex não encerra nem atualiza automaticamente o chamado original. -
Para procurar vulnerabilidades além das registradas no backlog fornecido, execute uma varredura de segurança.