False Positive - CI/CD 用語集の定義

false positive とは、ツールが報告する検出結果のうち実際には本当の問題ではないもので、例えば決して到達しないコードパス上でフラグされた脆弱性です。false positive の割合が高いと、開発者は scanner の出力を無視するよう仕込まれてしまいます。

対処する

false positive をトリアージし、ルールをグローバルに無効化するのではなく（理由を添えて）明示的に抑制します。そうすれば、将来の本物の検出結果は依然として表面化します。