PolicyLens Security Scanner
Analiza el repositorio que tienes abierto en VS Code aplicando políticas de seguridad. Puede cargar las definiciones exportadas desde OX Security, sin instalar escáneres externos. Combina:
- Modelos de GitHub Copilot para revisar código, secretos, datos personales, IaC, Dockerfiles y pipelines CI/CD.
- OSV.dev para detectar dependencias con vulnerabilidades conocidas (CVE) y paquetes maliciosos.
- deps.dev para licencias no aprobadas y dependencias obsoletas o desactualizadas.
Esta extensión no está afiliada, patrocinada ni respaldada por OX Security. "OX Security" es una marca de su respectivo titular y se menciona solo para identificar el origen de las policies. La redistribución pública de las definiciones de policies incluidas requiere los derechos o autorización correspondientes.
Requisitos
- Visual Studio Code 1.140 o superior.
- GitHub Copilot con sesión iniciada y acceso a modelos de lenguaje.
- Acceso de red a
api.osv.dev y api.deps.dev.
- Workspace de confianza (Workspace Trust).
Uso
- Pulsa el icono de la barra de actividad o ejecuta Abrir panel de policies.
- Elige el modelo (por defecto, un modelo Sonnet).
- Activa o desactiva policies y ajusta su severidad. Los cambios se guardan solo en tu equipo.
- Pulsa Analizar.
Los hallazgos aparecen en el panel y en la vista Problemas, con enlace a la línea afectada.
Análisis incremental y completo
| Botón |
Qué hace |
| Analizar |
Solo envía al modelo los ficheros nuevos o modificados, o las policies cuya configuración ha cambiado. El resto se reutiliza de la caché local. |
| Análisis completo |
Ignora la caché y vuelve a enviar todos los ficheros. Recomendado periódicamente. |
| Borrar caché |
Elimina los resultados guardados del repositorio actual. |
Las dependencias se consultan siempre completas en OSV.dev y deps.dev, ya que no consumen tokens del modelo y cada día se publican nuevas vulnerabilidades.
Exportar resultados
Desde el panel puedes exportar los resultados a SARIF, HTML o Excel.
Uso desde el chat
Selecciona el agente PolicyLens Security Analyst en Copilot Chat o usa el prompt /policylens-scan para analizar, revisar hallazgos y proponer correcciones. Las acciones que analizan o cambian políticas piden confirmación.
Cobertura
Se muestran las categorías que pueden evaluarse desde el código: Code Security, Secret/PII Scan, Open Source Security, SBOM, Infrastructure as Code, Container Security, CI/CD Posture y Security Tool Coverage.
Algunas policies aparecen como No soportada en esta versión. Pasa el ratón por el icono ⓘ para ver el motivo; por ejemplo, el análisis de imágenes de contenedor necesita un escáner de imágenes y las policies de plataforma necesitan acceso a la API de GitHub o Azure DevOps.
Configuración
| Ajuste |
Por defecto |
Descripción |
oxScan.maxFileSizeKB |
256 |
Tamaño máximo de un fichero para enviarlo al modelo. |
oxScan.maxFiles |
3000 |
Número máximo de ficheros analizados con el modelo por ejecución. |
oxScan.llmConcurrency |
2 |
Peticiones simultáneas al modelo. |
oxScan.fullScanEveryDays |
0 |
Fuerza un análisis completo si el último tiene más de N días (0 = desactivado). |
oxScan.excludeGlobs |
node_modules, .git, dist… |
Patrones excluidos del análisis. |
Privacidad y seguridad
- El código se envía al modelo de Copilot seleccionado, sujeto a la política de Copilot de tu organización.
- A OSV.dev y deps.dev solo se envían nombres y versiones de dependencias.
- Los valores con aspecto de secreto se ocultan en los resultados, la caché y los informes.
- La caché local contiene huellas de ficheros y hallazgos, nunca código.
- Los resultados del modelo pueden contener falsos positivos y deben revisarse.
