Triageエージェント

triage エージェントは、HTTPエビデンスをリプレイしてドラフト脆弱性発見を独立的に検証します。報告エージェントの説明を鵜呑みにせず、すべてのリクエストをリプレイしてレスポンスボディを自ら確認します。

概要

検証プロトコル

各ドラフト発見に対してtriageエージェントは：

1. 添付されたHTTPエビデンス（キャプチャされたリクエスト/レスポンス）を読み取り
2. http_replay を使用してリクエストを独立にリプレイ
3. リプレイレスポンスで実際の証拠を確認
4. 発見の判定を決定：

証拠として認められるもの

triageエージェントは厳格なエビデンス基準を適用します：

• 200 ステータスだけでは証拠になりません — レスポンスボディにターゲットデータが含まれている必要があります
• deleted:0、空の配列、汎用的な成功メッセージはエビデンスではありません
• クロステナント/IDORの発見では、レスポンスに別のテナントのデータが含まれている必要があります
• 認可の発見では、compare モードリプレイが権限境界の超越を示す必要があります

例

Draft: IDOR in GET /api/users/42 — claimed to return user data for another tenant

Triage:
1. Replay GET /api/users/42 with original auth → 200, body: {"id": 42, "name": "Other User"}
2. Replay GET /api/users/42 with attacker auth → 200, body: {"id": 42, "name": "Other User"}
3. Both return the same user data → CONFIRMED cross-tenant access
4. → triage_vulnerability(id, status: "triaged")