Агент Triage

Агент triage независимо проверяет черновики уязвимостей, воспроизводя их HTTP-доказательства. Он никогда не доверяет описанию отчитывающегося агента — он воспроизводит каждый запрос и самостоятельно проверяет тело ответа.

Обзор

Протокол проверки

Для каждого черновика находки агент triage:

1. Читает приложенные HTTP-доказательства (захваченный запрос/ответ)
2. Использует http_replay для независимого воспроизведения запроса
3. Анализирует ответ воспроизведения на наличие фактических доказательств
4. Принимает решение о судьбе находки:

Что считается доказательством

Агент triage применяет строгие стандарты доказательств:

• Статус 200 сам по себе не является доказательством — тело ответа должно содержать целевые данные
• deleted:0, пустые массивы, общие сообщения об успехе — не являются доказательством
• Для находок cross-tenant/IDOR ответ должен содержать данные другого арендатора
• Для находок по авторизации воспроизведение в режиме compare должно показать пересечение границы привилегий

Пример

Draft: IDOR in GET /api/users/42 — claimed to return user data for another tenant

Triage:
1. Replay GET /api/users/42 with original auth → 200, body: {"id": 42, "name": "Other User"}
2. Replay GET /api/users/42 with attacker auth → 200, body: {"id": 42, "name": "Other User"}
3. Both return the same user data → CONFIRMED cross-tenant access
4. → triage_vulnerability(id, status: "triaged")