крч эта говнина работает максимально странно
у нее есть граница с какого уровня показывать алерты, если за этой границей есть что то, она отдает code1, и сиай собсна упадет
но если у вас условно только medium уязвимости, и нет high, а вы поставили high+ порог, то софтина отдаст список всех уязвимостей
но если у вас нет high, но есть medium, то выполнение отработает нормально
а тебя типа разработчики и коллеги будут больше любить, если CI начнёт валиться, но из-за чего узнать невозможно, т.к. алерты этого уровня настроены подавляться?