Corgea Agent

Resumen

Corgea Agent es un asistente con IA que ayuda a gestionar vulnerabilidades de seguridad en la base de código. Ofrece dos formas principales de interacción:

Interfaz de chat web - Chat interactivo para explorar hallazgos, análisis y datos de vulnerabilidades
Comentarios de pull request - Respuestas automáticas a comandos en comentarios de PR en GitHub, GitLab, Azure DevOps y Bitbucket

Primeros pasos

Requisitos previos

Antes de habilitar Corgea Agent, asegúrate de que tienes:

Cuenta activa de Corgea con acceso adecuado al plan
Al menos una integración configurada (GitHub, GitLab, Azure DevOps o Bitbucket)
Eventos Webhook correctamente configurados para tu repositorio

Configuración inicial

Habilita Corgea Agent

Ve a Settings → Automation → Corgea Agent en el panel de Corgea y activa “Habilitar Corgea Agent”. El agente empezará a supervisar los comentarios de las pull requests y estará disponible en el chat.

La página Corgea Agent en Settings con el interruptor Enable Corgea Agent

Verificar permisos

Asegúrate de que tu integración con Corgea tenga los permisos necesarios para:

Leer comentarios de pull requests
Publicar comentarios en pull requests
Acceder al contenido del repositorio

Revisa la configuración de integración para confirmar que los webhooks están activos.

Prueba la conexión

Crea una PR de prueba con un hallazgo de seguridad
Comenta hello en cualquier vulnerabilidad de la PR para comprobar que el agente responde
Accede a la interfaz de chat web para hacer una pregunta sobre tus escaneos

Interfaz de chat web

Acceso al chat

Ve a la sección Chat del panel de Corgea para acceder al asistente interactivo con IA.

Lo que puedes hacer

El Corgea Agent tiene un profundo conocimiento de tu postura de seguridad y puede ayudarte a:

Explora los hallazgos de seguridad

Obtén información detallada sobre vulnerabilidades específicas, entiende los niveles de gravedad y revisa sugerencias de corrección

Analizar escaneos

Revisa los resultados y resúmenes de los escaneos, compara los escaneos a lo largo del tiempo y entiende la cobertura de las pruebas

Consulta de datos de vulnerabilidades

Lista los hallazgos por gravedad, proyecto o tipo, y revisa las reglas de bloqueo y las infracciones de políticas

Ejemplos de consultas

Example Chat Queries

"Show me all critical issues in my latest scan"
"What are the details for issue abc-123?"
"List all SQL injection vulnerabilities in project XYZ"
"Explain the security implications of CVE-2024-12345"
"What blocking rules are currently active?"

Ejemplo de sesión de chat con un Corgea Agent

Formula consultas concretas para obtener mejores resultados. Indica directamente los ID de hallazgos o escaneos, o los nombres de los proyectos.

Interacciones en pull requests

Cómo funciona

Cuando Corgea detecta hallazgos de seguridad en una pull request, el agente:

Publica comentarios destacando las vulnerabilidades
Supervisa la PR para detectar respuestas de los desarrolladores
Interpreta la intención del desarrollador a partir de los comentarios
Toma acciones automáticas basadas en comandos

Activar el agente

El agente responde a comentarios que:

Mencionen explícitamente a @Corgea
Respondan directamente a un comentario de Corgea sobre un hallazgo
Contengan comandos de acción reconocibles
Estén dirigidos a tratar hallazgos de seguridad

No es necesario utilizar @Corgea al responder directamente a un comentario del agente.

Acciones compatibles

Marca como falso positivo

Explica por qué el hallazgo no es una vulnerabilidad real. Una solicitud que solo diga «falso positivo» no basta; Corgea pide más detalles y mantiene el hallazgo sin cambios hasta que proporciones un motivo válido. Consulta Justificaciones de triaje.Ejemplo de comentarios:

@Corgea false positive, the query is parameterized on line 44
This is not a real issue, that input is the signed JWT claim
@Corgea this is safe, the value never leaves our allowlist

Qué pasa:

El hallazgo se marca como “Falso positivo”
El hallazgo deja de bloquear
Se registran los comentarios para analizarlos

Marca como riesgo aceptado

Reconoce una vulnerabilidad real pero acepta el riesgo sin remediación inmediata.Ejemplo de comentarios: Incluye la razón. Un simple “accept risk” recibe como respuesta una petición de justificación; consulta Justificaciones de triaje.

@Corgea accept risk until the 2.0 upgrade next quarter
We accept this, the endpoint is internal-only behind the VPN
@Corgea won't fix, this service is decommissioned in March

Qué pasa:

El estado del hallazgo cambia a “Riesgo aceptado”
El hallazgo deja de bloquear la PR
Se registra la aceptación de riesgos

Marcar como corregido

Confirma que se ha resuelto una vulnerabilidad.Ejemplo de comentarios:

@Corgea fixed
Already fixed this in the latest commit
@Corgea this is resolved

Qué pasa:

El estado del hallazgo cambia a “Corregido”
El hallazgo deja de aparecer entre los activos
Se registra la confirmación de corrección

Marca como duplicado

Señala un hallazgo como duplicado de otro existente.Ejemplo de comentarios:

@Corgea duplicate
This is a duplicate of issue XYZ
Same as #456

Qué pasa:

El hallazgo se marca como duplicado
Se vincula al hallazgo original, si se especifica
Eliminado del recuento activo

Marca como en progreso

Indica que se está trabajando para corregir el hallazgo.Ejemplo de comentarios:

@Corgea fix in progress
Working on this now
We're fixing this in the next commit

Qué pasa:

El estado del hallazgo cambia a “Corrección en curso”
Se registra que se está tratando activamente
El equipo puede supervisar el progreso

Solicitar más información

Pregunta a Corgea para obtener más detalles sobre una vulnerabilidad.Ejemplo de comentarios:

@Corgea explain this issue
What's the security impact here?
Can you provide more context?

Qué pasa:

El agente proporciona una explicación detallada
Incluye contexto de vulnerabilidad y orientación para remediación
Puede sugerir recursos relacionados

Ejemplos de interacción con comentarios

Falso positivo
Riesgo aceptado
Descarte sin razón
Contexto de la solicitud

Escenario: El desarrollador no está de acuerdo con encontrar

PR Comment

This input is already sanitized in the middleware layer, false positive

Respuesta del agente:

✅ Marked as False Positive
This issue has been marked as a false positive based on your feedback.
The issue will no longer block this PR.

Escenario: Aceptando riesgo por código heredado

PR Comment

This is legacy code we're deprecating next quarter. Accept the risk

Respuesta del agente:

⚠️ Marked as Accepted Risk
This issue has been acknowledged as an accepted risk.
It will no longer block this PR, but will remain in your security dashboard for tracking.

Escenario: La persona pide descartar un hallazgo pero no dice por qué

PR Comment

@Corgea false positive

Respuesta del agente:

I can't record that without a reason. Tell me what makes this safe - the
validation or control in the way, or why the path can't be reached - and
I'll mark it.

El estado no cambia. Responde con la razón y el agente registra la decisión.

Escenario: El desarrollador necesita aclaraciones

PR Comment

Can you explain why this is considered an SQL injection vulnerability?

Respuesta del agente:

[Detailed explanation of the SQL injection risk,
code examples, and suggested remediation approaches]

Historial de comentarios

Consulta todas las interacciones con comentarios de pull requests en la sección Historial de Comentarios:

Consulta todas las acciones tomadas en los comentarios de pull requests
Abre una entrada para ver el comentario original, el razonamiento de la IA y la respuesta del agente en un solo lugar
Filtra por tipo de acción, usuario o rango de fechas
Supervisa la participación del equipo en los hallazgos de seguridad

Filtros disponibles:

Tipo de acción (Falso positivo, Riesgo aceptado, Corregido, etc.)
Usuario de GitHub/GitLab/Azure DevOps
Rango de fechas

Plataformas compatibles

Corgea Agent funciona de forma fluida en múltiples plataformas de desarrollo:

GitHub
GitLab
Azure DevOps
Bitbucket

Comentarios de pull request
Comentarios del issue
Hilos de revisión

Requiere: instalación de la aplicación en GitHub con permisos apropiados

Resolución de problemas

Agente que no responde a los comentarios de pull requests

Comprobaciones:

¿Está activado el agente en Settings → Automation → Corgea Agent?
¿Están correctamente configurados los webhooks para tu repositorio?
¿Has mencionado a @Corgea o respondido a un comentario del agente?
¿Está tu integración activa y debidamente autenticada?

Solución:

Verifica la entrega en la configuración de webhooks de la plataforma
Comprueba el estado de la integración en el panel de Corgea
Vuelve a autenticarte si es necesario

La acción no se aplica al hallazgo

Comprobaciones:

¿El comentario indica con claridad la acción deseada?
¿Has comentado en el hallazgo correcto?
¿Tienes permisos para modificar hallazgos?

Solución:

Utiliza comandos explícitos como “@Corgea falso positivo, la plantilla escapa esa entrada”: descartar un hallazgo requiere una razón
Consulta el historial de comentarios para ver cómo se interpretó tu comentario

El chat no carga ni responde

Comprobaciones:

Comprueba si hay errores de JavaScript en la consola del navegador
Conectividad de red
Permisos de cuenta

Solución:

Actualiza la página
Borra la caché del navegador
Contacta con soporte si persiste el problema

Mejores prácticas

Comentarios de pull requests
Web Chat

Una acción por comentario: Mantén los comentarios centrados en una sola acción

Proporciona contexto: Añade razonamientos para ayudar al equipo a entender tu decisión

Revisa el historial de comentarios: Comprueba periódicamente cómo se interpretan tus órdenes

Privacidad y seguridad

Todas las interacciones por chat se ajustan a los datos de tu empresa. El agente solo accede a la información que tu cuenta de usuario tiene permiso para ver.

Las acciones de comentarios de PR se registran y son auditables en el Historial de Comentarios
Las respuestas de los agentes nunca exponen credenciales sensibles ni detalles internos de implementación
Los datos se procesan conforme a los estándares de seguridad de Corgea

Apoyo

¿Necesitas ayuda con Corgea Agent? Contáctanos en support@corgea.com

Primeros pasos

Funciones principales

Integraciones

Herramientas y utilidades

Versiones

Confianza y cumplimiento

Autenticación

Resumen

Primeros pasos

Requisitos previos

Configuración inicial

Interfaz de chat web

Acceso al chat

Lo que puedes hacer

Explora los hallazgos de seguridad

Analizar escaneos

Consulta de datos de vulnerabilidades

Ejemplos de consultas

Interacciones en pull requests

Cómo funciona

Activar el agente

Acciones compatibles

Ejemplos de interacción con comentarios

Historial de comentarios

Plataformas compatibles

Resolución de problemas

Mejores prácticas

Privacidad y seguridad

Apoyo

​Resumen

​Primeros pasos

​Requisitos previos

​Configuración inicial

​Interfaz de chat web

​Acceso al chat

​Lo que puedes hacer

Explora los hallazgos de seguridad

Analizar escaneos

Consulta de datos de vulnerabilidades

​Ejemplos de consultas

​Interacciones en pull requests

​Cómo funciona

​Activar el agente

​Acciones compatibles

​Ejemplos de interacción con comentarios

​Historial de comentarios

​Plataformas compatibles

​Resolución de problemas

​Mejores prácticas

​Privacidad y seguridad

​Apoyo

Resumen

Primeros pasos

Requisitos previos

Configuración inicial

Interfaz de chat web

Acceso al chat

Lo que puedes hacer

Ejemplos de consultas

Interacciones en pull requests

Cómo funciona

Activar el agente

Acciones compatibles

Ejemplos de interacción con comentarios

Historial de comentarios

Plataformas compatibles

Resolución de problemas

Mejores prácticas

Privacidad y seguridad

Apoyo