Corgea Agent

Aperçu

Corgea Agent est un assistant basé sur l’IA qui vous aide à gérer les vulnérabilités de votre code. Il propose deux modes d’interaction principaux :

Interface de chat web — chat interactif permettant d’explorer les problèmes de sécurité, les scans et les données de vulnérabilités
Commentaires sur les pull requests — réponses automatisées aux commandes publiées dans les commentaires des pull requests sur GitHub, GitLab, Azure DevOps et Bitbucket

Bien démarrer

Prérequis

Avant d’activer Corgea Agent, assurez-vous d’avoir :

Un compte Corgea actif avec une offre donnant accès à cette fonctionnalité
Au moins une intégration configurée (GitHub, GitLab, Azure DevOps ou Bitbucket)
Des événements webhook correctement configurés pour votre dépôt

Mise en place initiale

Activer Corgea Agent

Accédez à Settings → Automation → Corgea Agent dans votre tableau de bord Corgea et activez l’option « Enable Corgea Agent ». Une fois activé, l’agent surveille les commentaires des pull requests et devient disponible dans le chat.

La page Corgea Agent sous Settings avec le commutateur Enable Corgea Agent

Vérifier les autorisations

Assurez-vous que votre intégration Corgea dispose des autorisations nécessaires pour :

Lire les commentaires des pull requests
Publier des commentaires sur les pull requests
Accéder au contenu du dépôt

Vérifiez dans les paramètres de l’intégration que les webhooks sont actifs.

Tester la connexion

Créez une pull request de test contenant un problème de sécurité
Commentez hello sous une vulnérabilité de la pull request pour vérifier que l’agent répond
Accédez à l’interface de chat web pour poser une question sur vos scans

Interface de chat web

Accès au chat

Ouvrez Corgea Agent dans la barre latérale pour accéder à l’assistant IA interactif. Le chat web nécessite l’autorisation Can view Corgea Agent et un forfait incluant Corgea Agent. Cette autorisation est distincte des autorisations de consultation ou de modification des paramètres de l’agent. L’accès aux paramètres de l’agent et à Feedback History nécessite toujours l’autorisation de consulter les paramètres de l’agent.

Ce que vous pouvez faire

Corgea Agent connaît précisément votre posture de sécurité et peut vous aider à :

Explorer les problèmes de sécurité

Obtenez des informations détaillées sur des vulnérabilités précises, comprenez leur niveau de sévérité et examinez les correctifs proposés

Analyser les scans

Examinez les résultats et les résumés des scans, comparez leur évolution et évaluez leur couverture

Interroger les données de vulnérabilité

Répertoriez les problèmes par sévérité, projet ou type, et examinez les règles de blocage ainsi que les violations de politiques

Exemples de requêtes

Example Chat Queries

"Show me all critical issues in my latest scan"
"What are the details for issue abc-123?"
"List all SQL injection vulnerabilities in project XYZ"
"Explain the security implications of CVE-2024-12345"
"What blocking rules are currently active?"

Exemple de session de discussion avec Corgea Agent

Formulez des requêtes précises pour obtenir de meilleurs résultats. Indiquez directement les ID de problème ou de scan, ou les noms de projet.

Documentation, graphiques et téléchargements

Demandez à l’agent comment utiliser les fonctionnalités de Corgea. Il peut consulter la documentation Corgea et inclure des liens et des captures d’écran pertinents dans ses réponses. Vous pouvez également demander des graphiques sur les scans, leur durée, les problèmes introduits et résolus, le délai moyen de résolution par gravité, les problèmes de code ouverts par gravité ou les types de problèmes ouverts les plus fréquents. Précisez un projet et une période si nécessaire. Les graphiques nécessitent l’autorisation de consulter les rapports et une offre incluant les rapports, et utilisent uniquement les projets auxquels vous avez accès. Demandez un téléchargement CSV des problèmes de sécurité ou de qualité du code d’un scan terminé. L’export des dépendances est également disponible. Les téléchargements respectent vos droits d’accès aux scans et aux projets. Pour revenir à une conversation, ouvrez-la depuis l’historique du chat ou ajoutez son URL à vos favoris. Vous pouvez ouvrir un lien de l’historique dans un nouvel onglet. Les conversations sont privées et accessibles uniquement à votre compte au sein de votre entreprise actuelle.

Documents de contexte

Les administrateurs de l’entreprise peuvent ajouter des consignes dans Settings → Automation → Corgea Agent → Context Documents. Utilisez ces documents pour les processus, politiques et normes de programmation de votre organisation ; l’agent du chat web lit les documents activés pertinents lorsqu’il répond. Choisissez Add document, saisissez un titre et le contenu, puis indiquez éventuellement quand utiliser le document. Le contenu peut être du texte brut ou du Markdown, avec une limite de 50 000 caractères par document. Chaque entreprise peut stocker jusqu’à 50 documents. Les administrateurs peuvent les modifier, les activer, les désactiver ou les supprimer. Les documents de contexte guident les réponses ; ils n’accordent aucune autorisation et ne contournent pas les approbations de triage.

Interactions dans les pull requests

Fonctionnement

Lorsque Corgea détecte des problèmes de sécurité dans une pull request, l’agent :

Publie des commentaires mettant en avant les vulnérabilités
Surveille les réponses des développeurs dans la pull request
Interprète leur intention à partir des commentaires
Exécute automatiquement les actions demandées

Confirmations et retours sur les corrections

Sur GitHub et GitLab, Corgea confirme généralement un changement de statut ou un commentaire de retour sur une correction correctement enregistré par une réaction 👍 plutôt que par une réponse textuelle. Cela signifie que l’action a été enregistrée, même lorsque le retour sur la correction est négatif. Les questions, les demandes de justification et les actions refusées reçoivent toujours une réponse textuelle. Si la réaction ne peut pas être ajoutée, Corgea répond par du texte. Lorsque Corgea Agent est activé, réagissez avec 👍 ou 👎 au commentaire de Corgea sur un résultat pour évaluer la correction proposée. Ces réactions constituent un vote sur la correction ; elles ne changent pas le statut du résultat. Les réactions GitHub peuvent prendre quelques minutes avant d’apparaître dans Corgea. Pour GitLab, activez le déclencheur de webhook Emoji events. Les retours par réaction sont visibles dans Feedback History. Si l’agent refuse de modifier le statut d’un résultat ou de demander une autre correction depuis un commentaire, effectuez cette action dans l’application Corgea.

Déclenchement de l’agent

L’agent répond aux commentaires qui :

Mentionnent explicitement @Corgea
Répondent directement au commentaire de Corgea
Contiennent des commandes d’action reconnues
Sont destinés à traiter les résultats de sécurité

Il n’est pas nécessaire d’utiliser @Corgea lorsque vous répondez directement à un commentaire de l’agent.

Actions prises en charge

Marquer comme faux positif

Expliquez pourquoi le problème signalé ne constitue pas une véritable vulnérabilité. Une simple demande « faux positif » ne suffit pas ; Corgea demande davantage de détails et laisse le problème inchangé jusqu’à ce que vous fournissiez une justification pertinente. Voir Justifications de triage.Exemples de commentaires :

@Corgea false positive, the query is parameterized on line 44
This is not a real issue, that input is the signed JWT claim
@Corgea this is safe, the value never leaves our allowlist

Que se passe-t-il :

Le problème est marqué comme « Faux positif »
Le problème est retiré du statut de blocage
Les retours sont enregistrés pour analyse

Marquer comme risque accepté

Reconnaissez une vulnérabilité réelle, mais acceptez le risque sans remédiation immédiate.Exemples de commentaires : Indiquez la raison. Un simple « accept risk » reçoit une demande de justification — voir Justifications de triage.

@Corgea accept risk until the 2.0 upgrade next quarter
We accept this, the endpoint is internal-only behind the VPN
@Corgea won't fix, this service is decommissioned in March

Que se passe-t-il :

Le statut du problème passe à « Risque accepté »
Le problème ne bloque plus la pull request
L’acceptation du risque est enregistrée

Marquer comme corrigé

Confirmez qu’une vulnérabilité a été résolue.Exemples de commentaires :

@Corgea fixed
Already fixed this in the latest commit
@Corgea this is resolved

Que se passe-t-il :

Changement de statut du problème en « Corrigé »
Le problème n’apparaît plus dans les résultats actifs
La confirmation de la correction est enregistrée

Marquer comme doublon

Signalez qu’un problème fait doublon avec un résultat existant.Exemples de commentaires :

@Corgea duplicate
This is a duplicate of issue XYZ
Same as #456

Que se passe-t-il :

Le problème est marqué comme doublon
Il est associé au problème d’origine, s’il est indiqué
Il est retiré du décompte des problèmes actifs

Marquer comme en cours

Indiquez que des travaux sont en cours pour résoudre le problème.Exemples de commentaires :

@Corgea fix in progress
Working on this now
We're fixing this in the next commit

Que se passe-t-il :

Le statut du problème passe à « Correctif en cours »
Le problème est suivi comme étant en cours de traitement
L’équipe peut suivre la progression

Demander plus d’informations

Demandez à Corgea des détails supplémentaires sur une vulnérabilité.Exemples de commentaires :

@Corgea explain this issue
What's the security impact here?
Can you provide more context?

Que se passe-t-il :

L’agent fournit une explication détaillée
L’explication inclut le contexte de la vulnérabilité et des recommandations de remédiation
L’agent peut suggérer des ressources connexes

Exemples d’interactions avec les commentaires

Faux positif
Risque accepté
Rejet sans raison
Demande de contexte

Scénario : le développeur conteste le résultat

PR Comment

This input is already sanitized in the middleware layer, false positive

Réponse de l’agent :

✅ Marked as False Positive
This issue has been marked as a false positive based on your feedback.
The issue will no longer block this PR.

Scénario : acceptation du risque pour du code ancien

PR Comment

This is legacy code we're deprecating next quarter. Accept the risk

Réponse de l’agent :

⚠️ Marked as Accepted Risk
This issue has been acknowledged as an accepted risk.
It will no longer block this PR, but will remain in your security dashboard for tracking.

Scénario : un développeur demande de rejeter un résultat sans dire pourquoi

PR Comment

@Corgea false positive

Réponse de l’agent :

I can't record that without a reason. Tell me what makes this safe - the
validation or control in the way, or why the path can't be reached - and
I'll mark it.

Le statut reste inchangé. Répondez avec la raison et l’agent enregistre la décision.

Scénario : le développeur a besoin d’une explication

PR Comment

Can you explain why this is considered an SQL injection vulnerability?

Réponse de l’agent :

[Detailed explanation of the SQL injection risk,
code examples, and suggested remediation approaches]

Historique des retours

Consultez toutes les interactions issues des commentaires de pull request dans l’onglet Feedback History, sous Settings → Automation → Corgea Agent :

Consultez toutes les actions effectuées depuis les commentaires de pull request
Ouvrez une entrée pour voir le commentaire original, le raisonnement de l’IA et la réponse de l’agent en un seul endroit
Filtrez par type d’action, utilisateur ou plage de dates
Surveillez l’engagement de l’équipe avec les résultats de sécurité

Tableau de bord de l’historique des retours

Filtres disponibles :

Type d’action (faux positif, risque accepté, corrigé, etc.)
Utilisateur GitHub, GitLab ou Azure DevOps
Plage de dates

Plateformes prises en charge

Corgea Agent fonctionne sur plusieurs plateformes de développement :

GitHub
GitLab
Azure DevOps
Bitbucket

Commentaires sur les pull requests
Commentaires des issues
Fils de revue

Prérequis : GitHub App installée avec les autorisations appropriées

Dépannage

L’agent ne répond pas aux commentaires des pull requests

À vérifier :

L’agent est-il activé dans Settings → Automation → Corgea Agent ?
Les webhooks sont-ils correctement configurés pour votre dépôt ?
Avez-vous mentionné @Corgea ou répondu à un commentaire de l’agent ?
Votre intégration est-elle active et correctement authentifiée ?

Solution :

Vérifiez la livraison du webhook dans les paramètres de votre plateforme
Vérifiez le statut de l’intégration dans le tableau de bord Corgea
Authentifiez de nouveau l’intégration si nécessaire

Action non appliquée au problème

À vérifier :

Votre commentaire indique-t-il clairement l’action prévue ?
Commentez-vous le bon problème ?
Avez-vous des autorisations pour modifier les problèmes ?

Solution :

Utilisez des commandes explicites comme « @Corgea faux positif, le moteur de templates échappe cette entrée » — un rejet nécessite une raison
Consultez l’historique des retours pour voir comment votre commentaire a été interprété

Le chat ne se charge pas et ne répond pas

À vérifier :

Les erreurs JavaScript dans la console du navigateur
Connectivité réseau
Autorisations de compte

Solution :

Rafraîchissez la page
Videz le cache du navigateur
Contactez le support si le problème persiste

Bonnes pratiques

Commentaires PR
Web Chat

Une action par commentaire : limitez chaque commentaire à une seule action

Fournir du contexte : justifiez votre décision pour aider l’équipe à la comprendre

Consulter l’historique des retours : vérifiez régulièrement comment vos commandes sont interprétées

Confidentialité et sécurité

Toutes les interactions de chat sont limitées aux données de votre entreprise. L’agent n’accède qu’aux informations que votre compte utilisateur a la permission de consulter.

Les actions effectuées depuis les commentaires des pull requests sont consignées et traçables dans Feedback History
Les réponses de l’agent ne révèlent jamais d’identifiants sensibles ni de détails internes sur l’implémentation
Les données sont traitées conformément aux normes de sécurité de Corgea

Assistance

Besoin d’aide avec Corgea Agent ? Contactez-nous à support@corgea.com

Bien démarrer

Fonctionnalités principales

Intégrations

Outils et utilitaires

Versions

Confiance et conformité

Authentification

Aperçu

Bien démarrer

Prérequis

Mise en place initiale

Interface de chat web

Accès au chat

Ce que vous pouvez faire

Explorer les problèmes de sécurité

Analyser les scans

Interroger les données de vulnérabilité

Exemples de requêtes

Documentation, graphiques et téléchargements

Documents de contexte

Interactions dans les pull requests

Fonctionnement

Confirmations et retours sur les corrections

Déclenchement de l’agent

Actions prises en charge

Exemples d’interactions avec les commentaires

Historique des retours

Plateformes prises en charge

Dépannage

Bonnes pratiques

Confidentialité et sécurité

Assistance

​Aperçu

​Bien démarrer

​Prérequis

​Mise en place initiale

​Interface de chat web

​Accès au chat

​Ce que vous pouvez faire

Explorer les problèmes de sécurité

Analyser les scans

Interroger les données de vulnérabilité

​Exemples de requêtes

​Documentation, graphiques et téléchargements

​Documents de contexte

​Interactions dans les pull requests

​Fonctionnement

​Confirmations et retours sur les corrections

​Déclenchement de l’agent

​Actions prises en charge

​Exemples d’interactions avec les commentaires

​Historique des retours

​Plateformes prises en charge

​Dépannage

​Bonnes pratiques

​Confidentialité et sécurité

​Assistance

Aperçu

Bien démarrer

Prérequis

Mise en place initiale

Interface de chat web

Accès au chat

Ce que vous pouvez faire

Exemples de requêtes

Documentation, graphiques et téléchargements

Documents de contexte

Interactions dans les pull requests

Fonctionnement

Confirmations et retours sur les corrections

Déclenchement de l’agent

Actions prises en charge

Exemples d’interactions avec les commentaires

Historique des retours

Plateformes prises en charge

Dépannage

Bonnes pratiques

Confidentialité et sécurité

Assistance