Einen umfassenden Sicherheitsscan ausführen
Führen Sie eine langsamere, gründlichere Prüfung eines Repositorys oder eines abgegrenzten Ordners durch.
Führen Sie einen umfassenden Scan aus, wenn Sie eine gründlichere Prüfung benötigen und eine längere Laufzeit in Kauf nehmen können. Umfassende Scans durchsuchen ein Repository eingehender und können die Abweichungen zwischen einzelnen Durchläufen verringern.
Beginnen Sie mit einem Standardscan, um Ihren Umfang und Ihre Ergebnisse zu prüfen. Verwenden Sie anschließend einen umfassenden Scan, wenn Sie eine gründlichere Bewertung benötigen.
Zwischen Standardscans und umfassenden Scans wählen
| Standardscan | Umfassender Scan | |
|---|---|---|
| Am besten geeignet für | Erste Durchläufe und routinemäßige Prüfung eines Repositorys oder Ordners | Gründlichere Prüfungen nach einem Standardscan |
| Variabilität | Standard | Reduziert |
| Umfang | Repository oder expliziter Ordner | Repository oder expliziter Ordner |
| Laufzeit und Ressourcen | Niedriger | Höher |
| Pull Requests und Diffs | Workflow zur Änderungsprüfung verwenden | Nicht unterstützt; verwenden Sie stattdessen den Workflow zur Änderungsprüfung |
Laufzeit eines umfassenden Scans konfigurieren
Um die Parallelität und Dauer eines umfassenden Scans zu steuern, erstellen oder bearbeiten Sie
~/.codex/codex-security/config.toml. Wenn Sie CODEX_HOME festlegen, verwenden Sie
stattdessen $CODEX_HOME/codex-security/config.toml.
Dieses Profil führt beispielsweise einen kürzeren Scan mit begrenzter Parallelität aus:
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10| Einstellung | Standardwert | Beschreibung |
|---|---|---|
workers |
auto |
Anzahl der Ermittlungs-Worker, die gleichzeitig ausgeführt werden dürfen. Legen Sie eine positive Ganzzahl oder "auto" fest. |
subagents |
3 |
Anzahl der Subagenten, die jeder Ermittlungs-Worker starten darf. Legen Sie 0 fest, um sie zu deaktivieren. |
stop_after_no_new |
6 |
Beendet die Ermittlung, nachdem diese Anzahl aufeinanderfolgender Durchläufe keine neuen Kandidaten hervorgebracht hat. |
max_discovery_runs |
60 |
Höchstzahl der Ermittlungsdurchläufe, bevor der Scan zur Validierung übergeht. |
Niedrigere Werte können die Scanzeit und Token-Nutzung reduzieren, dabei jedoch Befunde übersehen. Konfigurationsänderungen gelten für neue umfassende Scans, nicht für bereits laufende Scans.
Umfassenden Scan starten
Öffnen Sie in der Desktop-App Security, wählen Sie Scans und anschließend + Scan aus. Wählen Sie ein Repository oder einen anderen Ordner aus, wählen Sie Codebase und aktivieren Sie Deep scan. Der Scan erfasst das gesamte ausgewählte Repository beziehungsweise den gesamten ausgewählten Ordner.
Sie können einen repositoryweiten umfassenden Scan auch aus einer Codex-Unterhaltung starten:
Use $codex-security:deep-security-scan to run a deep security scan of this repository.Geben Sie für eine einzelne Komponente in einem Monorepo den Ordner explizit an:
Use $codex-security:deep-security-scan to run a deep security scan of /absolute/path/to/repository/services/payments.Wählen Sie für einen abgegrenzten umfassenden Scan in der Desktop-App den Ordner als Codebasis aus. Der Scan erfasst den gesamten ausgewählten Ordner.
Einrichtung und Vorabprüfung bestätigen
Verwenden Sie für die beste Scanqualität gpt-5.6-sol mit dem Reasoning-Aufwand xhigh.
- Wählen Sie Codebase aus und aktivieren Sie Deep scan.
- Vergewissern Sie sich, dass das Repository oder der ausgewählte Ordner den Code enthält, den Sie scannen wollten.
- Wählen Sie ein Modell und den Reasoning-Aufwand aus.
- Öffnen Sie Additional context, um konkrete Angriffsvektoren, sensible Anwendungsbereiche oder Repository-Kontext anzugeben, die aus dem Code nicht hervorgehen.
- Wählen Sie Start scan aus.
- Prüfen Sie alle Einrichtungs- oder Funktionswarnungen, bevor Sie einer Konfigurationsänderung zustimmen.
Umfassende Scans erfordern delegierte Worker. Wenn die aktuelle Laufzeitumgebung die Funktionsanforderungen nicht erfüllt, verwenden Sie einen Standardscan oder versuchen Sie es erneut, sobald genügend Kapazität verfügbar ist.
Ermittlungs-Worker übernehmen das ausgewählte Modell und die Reasoning-Einstellungen. Verfolgen Sie den gespeicherten Scan unter Scans oder wählen Sie View activity, um die zugehörige Codex-Aufgabe zu untersuchen. Prüfen Sie das Plugin-Änderungsprotokoll, bevor Sie das Plugin aktualisieren oder einen lang laufenden Scan starten.
Ergebnis prüfen
Umfassende Scans verwenden dieselben gespeicherten Scandetails und dasselbe vollständige Scanverzeichnis wie Standardscans. Öffnen Sie den abgeschlossenen Scan unter Scans oder prüfen Sie seine Befunde unter Findings. Sofern verfügbar, verweist report.md auf einen detaillierten Bericht für jeden berichtsfähigen Befund sowie auf ein Portfolio struktureller Härtungsmaßnahmen, falls Befunde verbleiben. Bewahren Sie beim Teilen oder Archivieren des Ergebnisses die verknüpften Verzeichnisse findings/ und hardening/ zusammen mit dem Bericht auf.
Prüfen Sie vor den Befunden die Zusammenfassung der Abdeckung. Ein umfassender Scan durchsucht den Code eingehender, doch jeder zurückgestellte Bereich oder jede Nachweislücke schränkt die Schlussfolgerung weiterhin ein. Fahren Sie bei einem akzeptierten Befund mit Einen Befund beheben und verifizieren fort.
Verwenden Sie zum Prüfen eines Pull Requests, Commits, Branch-Bereichs oder lokalen Patches Codeänderungen prüfen. Ein umfassender Scan ersetzt niemals den auf Diffs ausgerichteten Workflow.