Corgea Agent

概要

Corgea Agentは、コードベースのセキュリティ脆弱性管理を支援するAI搭載のアシスタントです。主に2つのインタラクションモードを提供します:

ウェブチャットインターフェース - セキュリティ問題、スキャン、脆弱性データを探るインタラクティブチャット
プルリクエストコメント - GitHub、GitLab、Azure DevOps、Bitbucket のPRコメント内のコマンドへの自動応答

はじめに

前提条件

Corgea Agentを有効にする前に、次の要件を確認してください:

適切なプランアクセスを持つアクティブなCorgeaアカウント
少なくとも1つの統合が設定されていること(GitHub、GitLab、Azure DevOps、またはBitbucket)
リポジトリ向けに適切に設定されたWebhookイベント

初期セットアップ

Corgea Agentを有効化

Corgea ダッシュボードで Settings → Automation → Corgea Agent を開き、「Enable Corgea Agent」スイッチをオンにします。有効にすると、エージェントがプルリクエストのコメントを監視し、チャットで利用できるようになります。

Settings 配下の Corgea Agent ページ。Enable Corgea Agent トグルがあります

権限の確認

Corgea連携に必要な権限を以下に確保してください:

プルリクエストコメントを読む
プルリクエストへのコメント投稿
リポジトリコンテンツへのアクセス

統合設定を確認してWebhookが有効かどうかを確認してください。

接続をテスト

セキュリティ問題を含むテストPRを作成する
プルリクエスト内の任意の脆弱性にhelloとコメントし、エージェントが応答することを確認する
Webチャット画面を開き、スキャンについて質問する

ウェブチャットインターフェース

チャットにアクセスする

サイドバーの Corgea Agent を開くと、対話型AIアシスタントを利用できます。ウェブチャットを利用するには、Can view Corgea Agent権限と、Corgea Agentを含むプランが必要です。この権限は、エージェント設定の閲覧や編集の権限とは別です。エージェント設定とFeedback Historyへのアクセスには、引き続きエージェント設定の閲覧権限が必要です。

利用できる機能

Corgea Agentは組織のセキュリティ態勢を把握し、次の作業を支援します。

セキュリティ問題の探求

特定の脆弱性に関する詳細な情報を取得し、重大度のレベルを理解し、修正案の確認を行います

スキャン解析

スキャン結果や要約を確認し、スキャンの時間経過を比較し、スキャンのカバレッジを理解できます

脆弱性データの検索

問題を重大度、プロジェクト、タイプごとに一覧表示し、ブロッキングルールやポリシー違反を確認できます

例クエリ

Example Chat Queries

"Show me all critical issues in my latest scan"
"What are the details for issue abc-123?"
"List all SQL injection vulnerabilities in project XYZ"
"Explain the security implications of CVE-2024-12345"
"What blocking rules are currently active?"

より良い結果を得るには、具体的な質問を入力してください。より正確な回答を得るために、問題ID、スキャンID、またはプロジェクト名を直接指定してください。

ドキュメント、グラフ、ダウンロード

Corgeaの機能の使い方をエージェントに質問できます。エージェントはCorgeaのドキュメントを参照し、関連するリンクや画面の画像を回答に含められます。スキャン数、スキャン時間、新たに検出された問題と解決された問題、重大度別の平均修正時間、重大度別の未解決のコードの問題、よく見られる未解決の問題の種類について、グラフを依頼できます。必要に応じてプロジェクトと期間を指定してください。グラフにはレポートの閲覧権限とレポート機能を含むプランが必要で、アクセスできるプロジェクトのみが対象です。完了したスキャンのセキュリティの問題やコード品質の問題をCSVでダウンロードするよう依頼できます。依存関係のエクスポートも利用できます。ダウンロードにはスキャンとプロジェクトのアクセス権限が適用されます。会話を再開するには、チャット履歴から開くか、そのURLをブックマークしてください。履歴のリンクは新しいタブでも開けます。会話は、現在の会社に所属する自分のアカウントだけが閲覧できます。

コンテキスト文書

会社の管理者は、Settings → Automation → Corgea Agent → Context Documentsで指針を追加できます。組織の手順、ポリシー、コーディング規約をこれらの文書に記載してください。ウェブチャットのエージェントは、回答時に関連する有効な文書を参照します。 Add documentを選択し、タイトルと内容を入力します。必要に応じて、文書を使う場面も説明できます。内容はプレーンテキストまたはMarkdownで、1文書につき50,000文字まで入力できます。各会社で最大50件の文書を保存できます。管理者は文書を編集、有効化、無効化、削除できます。コンテキスト文書は回答の指針です。権限を付与したり、トリアージの承認を省略したりするものではありません。

プルリクエストのやり取り

仕組み

Corgeaがプルリクエストでセキュリティ問題を検出すると、エージェントは自動的に次の処理を行います。

脆弱性を強調するコメントを投稿する
PRで開発者の返信を監視する
コメントから開発者の意図を解釈する
コマンドに基づいて自動行動を取る

処理の確認と修正へのフィードバック

GitHub と GitLab では、ステータス変更や修正へのフィードバックを記録すると、通常はテキストの返信ではなく 👍 のリアクションで確認を示します。修正への否定的なフィードバックでも、👍 は処理が記録されたことを意味します。質問、理由の確認、実行を拒否した操作には、引き続きテキストで返信します。リアクションを追加できない場合も、Corgea はテキストで返信します。 Corgea Agent が有効な場合、問題を報告した Corgea のコメントに 👍 または 👎 のリアクションを付けて、提案された修正を評価できます。このリアクションは修正への投票であり、問題のステータスは変更しません。GitHub のリアクションが Corgea に反映されるまで数分かかる場合があります。GitLab では Webhook の Emoji events を有効にしてください。リアクションによるフィードバックは Feedback History で確認できます。コメントからのステータス変更や別の修正の依頼をエージェントが拒否した場合は、Corgea アプリでその操作を行ってください。

エージェントのトリガー

エージェントは以下のコメントに答えています:

@Corgea に明示的にメンションする
Corgeaの問題コメントに直接返信
認識可能なアクションコマンドを含める
セキュリティ上の検出結果に対応することを目的としています

@Corgeaを使う必要はありません。エージェントはコメントに自動的に対応します。

対応するアクション

誤検知としてのマーク

報告された問題が実際の脆弱性ではない理由を説明してください。「誤検知」とだけ依頼しても不十分です。Corgeaは詳細を求め、具体的な理由が示されるまで問題を変更しません。トリアージの理由を参照してください。例コメント:

@Corgea false positive, the query is parameterized on line 44
This is not a real issue, that input is the signed JWT claim
@Corgea this is safe, the value never leaves our allowlist

起こること:

問題が「誤検知」としてマークされています
問題がブロック状態から解除される
フィードバックが分析のために記録される

承認リスクとしてのマーク

実際の脆弱性を認めつつも、即時の対策なしにリスクを受け入れること。例コメント: 理由を含めてください。「accept risk」だけのコメントには理由を求める返信が返ります（トリアージの理由を参照）。

@Corgea accept risk until the 2.0 upgrade next quarter
We accept this, the endpoint is internal-only behind the VPN
@Corgea won't fix, this service is decommissioned in March

起こること:

問題ステータスが「リスク受容」に変更される
問題がPRをブロックしなくなる
リスク受容が記録される

修正済みとしてマークする

脆弱性が解決されたことを確認します。例コメント:

@Corgea fixed
Already fixed this in the latest commit
@Corgea this is resolved

起こること:

問題ステータスが「修正済み」に変更
問題が現在は現役の検出結果に現れなくなった
修正確認が記録されます

重複としてマーク

既存の検出結果の重複として問題をマークします。例コメント:

@Corgea duplicate
This is a duplicate of issue XYZ
Same as #456

起こること:

問題が重複としてマークされる
元の問題番号にリンクされる（指定されている場合）
アクティブカウントから除外

進行中のマーク

問題解決のための作業が進行中であることを示してください。例コメント:

@Corgea fix in progress
Working on this now
We're fixing this in the next commit

起こること:

問題ステータスが「修正進行中」に変更
積極的に対応されていると追跡される
チームは進捗を監視できる

詳細情報を求める

脆弱性の詳細はCorgeaに問い合わせてください。例コメント:

@Corgea explain this issue
What's the security impact here?
Can you provide more context?

起こること:

エージェントが詳細な説明を提供する
脆弱性のコンテキストおよび修復ガイダンスを含む
関連リソースを提案する場合があります

コメントのやり取り例

誤検知
受け入れリスク
理由のない却下
リクエストコンテキスト

シナリオ: 開発者が

PR Comment

This input is already sanitized in the middleware layer, false positive

エージェントの応答:

✅ Marked as False Positive
This issue has been marked as a false positive based on your feedback.
The issue will no longer block this PR.

シナリオ: レガシーコードのリスクを受け入れる

PR Comment

This is legacy code we're deprecating next quarter. Accept the risk

エージェントの応答:

⚠️ Marked as Accepted Risk
This issue has been acknowledged as an accepted risk.
It will no longer block this PR, but will remain in your security dashboard for tracking.

シナリオ: 理由を述べずに検出結果の却下を依頼した場合

PR Comment

@Corgea false positive

エージェントの応答:

I can't record that without a reason. Tell me what makes this safe - the
validation or control in the way, or why the path can't be reached - and
I'll mark it.

ステータスは変更されません。理由を返信すると、エージェントが決定を記録します。

シナリオ: 開発者が説明を求めています

PR Comment

Can you explain why this is considered an SQL injection vulnerability?

エージェントの応答:

[Detailed explanation of the SQL injection risk,
code examples, and suggested remediation approaches]

フィードバック履歴

Settings → Automation → Corgea Agent の Feedback History タブで、すべてのPRコメントのやり取りを確認できます。

PRコメントを通じて行われたすべての行動を見る
エントリを開くことで、元のコメント、AIの推論、エージェントの応答を一か所で閲覧できます
アクションタイプ、ユーザー、または日付範囲でフィルタリング
セキュリティ検出結果に対するチームの関与を監視する

利用可能なフィルター:

アクションタイプ(誤検知、承認済みリスク、修正済みなど)
GitHub/GitLab/Azure DevOps ユーザー
日付範囲

サポートプラットフォーム

Corgea Agentは複数の開発プラットフォームでシームレスに動作します:

GitHub
GitLab
Azure DevOps
Bitbucket

プルリクエストコメント
問題コメント
レビュースレッド

必要条件:適切な権限を持つGitHubアプリのインストール

トラブルシューティング

エージェントがPRコメントに返答しない

チェック:

エージェントは Settings → Automation → Corgea Agent で有効になっていますか?
Webhookはリポジトリで正しく設定されていますか?
@Corgeaにメンションするか、エージェントのコメントに返信しましたか?
連携は有効で、正しく認証されていますか?

解決策:

プラットフォームのWebhook設定でWebhookの配信を確認する
Corgeaダッシュボードでの統合状況確認
必要に応じて再認証

操作が問題に適用されない

チェック:

コメントに意図した操作が明記されていますか?
正しい問題についてコメントしていますか?
問題を修正する権限はありますか?

解決策:

「@Corgea false positive, the input is escaped by the template engine」のように、理由を添えた明示的なコマンドを使う（問題の却下には理由が必要です）
フィードバック履歴でコメントがどのように解釈されたかを確認してください

チャットが読み込まれない、または応答しない

チェック:

JavaScriptエラー用のブラウザコンソール
ネットワーク接続性
アカウント権限

解決策:

ページを更新する
ブラウザキャッシュのクリア
問題が解決しない場合はサポートに連絡してください

ベストプラクティス

PRコメント
ウェブチャット

コメントごとに1つの行動:コメントは単一の行動に集中させる

コンテキストを提供:チームが判断を理解できるよう理由を追加する

フィードバック履歴のレビュー:定期的に自分のコマンドがどのように解釈されているか確認

プライバシーとセキュリティ

すべてのチャットは所属会社のデータに限定されます。エージェントがアクセスできるのは、ユーザーアカウントに表示権限がある情報のみです。

PRコメントのアクションはフィードバック履歴で記録され、監査可能です
エージェントのレスポンスで機密性の高い認証情報や内部実装の詳細が公開されることはありません
データはCorgeaのセキュリティ基準に準拠して処理されています

サポート

Corgeaのエージェントについてお困りですか?お問い合わせは support@corgea.com

スタートガイド

主な機能

インテグレーション

ツールとユーティリティ

リリース

信頼性とコンプライアンス

認証

概要

はじめに

前提条件

初期セットアップ

ウェブチャットインターフェース

チャットにアクセスする

利用できる機能

セキュリティ問題の探求

スキャン解析

脆弱性データの検索

例クエリ

ドキュメント、グラフ、ダウンロード

コンテキスト文書

プルリクエストのやり取り

仕組み

処理の確認と修正へのフィードバック

エージェントのトリガー

対応するアクション

コメントのやり取り例

フィードバック履歴

サポートプラットフォーム

トラブルシューティング

ベストプラクティス

プライバシーとセキュリティ

サポート

​概要

​はじめに

​前提条件

​初期セットアップ

​ウェブチャットインターフェース

​チャットにアクセスする

​利用できる機能

セキュリティ問題の探求

スキャン解析

脆弱性データの検索

​例クエリ

​ドキュメント、グラフ、ダウンロード

​コンテキスト文書

​プルリクエストのやり取り

​仕組み

​処理の確認と修正へのフィードバック

​エージェントのトリガー

​対応するアクション

​コメントのやり取り例

​フィードバック履歴

​サポートプラットフォーム

​トラブルシューティング

​ベストプラクティス

​プライバシーとセキュリティ

​サポート

概要

はじめに

前提条件

初期セットアップ

ウェブチャットインターフェース

チャットにアクセスする

利用できる機能

例クエリ

ドキュメント、グラフ、ダウンロード

コンテキスト文書

プルリクエストのやり取り

仕組み

処理の確認と修正へのフィードバック

エージェントのトリガー

対応するアクション

コメントのやり取り例

フィードバック履歴

サポートプラットフォーム

トラブルシューティング

ベストプラクティス

プライバシーとセキュリティ

サポート