publish-findings 是 OpenAI Codex Security 提供的技能，用于将来自 Wiz 的外部安全发现（包漏洞、静态应用安全测试 SAST、仓库密钥、基础设施即代码 IaC）导入到 Codex Security Cloud。它通过已安装的 codex-security publish findings 命令进行预览和上传，该命令负责来源映射、云认证、来源版本管理以及保存失败的请求以供重试。用户不应自行实现 HTTP 上传或把凭据放在命令行参数中。
使用方式：先运行命令并加 --dry-run 进行预览，检查云 API 端点、账户、仓库、环境、来源命名空间、严重性计数和排除项。用户确认后，使用相同命令去掉 --dry-run 并添加 --yes 执行上传。命令接受 JSON 或 gzip 压缩的 JSON，以及带有 source_finding_id 和 evidence 的标准化 JSONL。预览结果中 cloudApiUrl 是 API 端点，cloudUrl 是 UI 链接，需核对目标部署。
主要能力：支持连接 GitHub 和 GitHub Enterprise 仓库（包括自定义域名）。对于 Wiz 发现，优先通过已配置的 Wiz 插件或授权的 Wiz MCP 连接读取选定记录，必要时使用授权的 Wiz API。命令本身不直接从 Wiz 获取数据，也不接受 CSV、扫描事件、工作负载密钥、云配置或外部网络导出。对于包漏洞 UI 导出，需使用 Vulnerability Findings → Save as → Report，选择 Repository Branch、JSON、Detailed 列，下载报告后使用。SAST、密钥和 IaC 发现需保留明确的 data.sastFindings.nodes、data.secretInstances.nodes 或 data.iacFindings.nodes 集合，并提供验证过的仓库 URL 或 data.versionControlResources.nodes。
限制与注意事项：不要发布厂商凭据、无关记录或本地评估作为原始扫描证据。导入的厂商证据不代表 Codex 评估。对于 staging 或其他云部署，需设置 CODEX_SECURITY_CLOUD_BASE_URL，如需 UI 链接则设置 CODEX_SECURITY_CLOUD_WEB_URL。命令不会从 API 端点推导 UI URL，也不会在 staging 不可用时回退到生产环境。上传后，即使进程非零退出也应读取结果：complete 退出码 0，partial 退出码 1，interrupted 退出码 2。部分失败需报告并保留解释。