Codex Security Scan ausführen

Verwenden Sie einen Standardscan, um ein Repository oder einen ausgewählten Ordner zu prüfen. Diese Anleitung erläutert, wie Sie den Umfang festlegen, Sicherheitskontext bereitstellen und das Ergebnis bewerten. Wenn Sie das Plugin noch nicht installiert haben, beginnen Sie mit dem Plugin- Schnellstart.

Für wiederholte Prüfungen desselben Umfangs verwenden Sie einen tiefgehenden Scan. Bei einem Pull Request oder einem lokalen Diff prüfen Sie die Codeänderungen.

Scanbereich auswählen

Öffnen Sie in der Desktop-App Security, wählen Sie Scans und anschließend + Scan aus. Wählen Sie ein vorhandenes Repository oder einen anderen Ordner und anschließend Codebase aus.

Scannen Sie das gesamte Repository, wenn Sie eine breite Abdeckung benötigen und das Repository eine sinnvolle Prüfeinheit darstellt. Wählen Sie bei einem Monorepo einen einzelnen Ordner, wenn ein Dienst, Paket oder eine Komponente einen Verantwortlichen und eine Sicherheitsgrenze hat.

Sie können einen Scan auch aus einer Codex-Unterhaltung starten:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Geben Sie die Komponente an, um diese Unterhaltung auf einen bestimmten Ordner zu konzentrieren:

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Scan konfigurieren

Verwenden Sie für die beste Scanqualität gpt-5.6-sol mit dem Reasoning-Aufwand xhigh.

1. Wählen Sie Codebasis und lassen Sie Tiefgehender Scan deaktiviert.
2. Bestätigen Sie das ausgewählte Repository, den aktuellen Branch und die neueste Revision.
3. Legen Sie unter Scanbereich das gesamte Repository fest oder wählen Sie einen einzelnen Ordner.
4. Wählen Sie ein Modell und den Reasoning-Aufwand.
5. Beschreiben Sie unter Zusätzlicher Kontext die von Angreifern kontrollierten Eingaben, Vertrauensgrenzen, sicherheitskritischen Aktionen oder einen Bereich, der vorrangig geprüft werden soll.
6. Wählen Sie Scan starten.

Fügen Sie SECURITY.md zum Repository-Stammverzeichnis hinzu, um dauerhafte Sicherheitsrichtlinien bereitzustellen. Beschreiben Sie das Bedrohungsmodell, Sicherheitsinvarianten, Kriterien für meldepflichtige Befunde, Ausschlüsse und den Schweregradkontext. Fügen Sie verschachtelte SECURITY.md-Dateien für verzeichnisspezifische Richtlinien hinzu. Wenn Richtlinien einander widersprechen, hat die Datei Vorrang, die dem Code am nächsten liegt. Codex Security behandelt diese Dateien als Richtlinienkontext, nicht als ausführbare Anweisungen.

Verwenden Sie AGENTS.md für unterstützte Build- und Validierungsbefehle sowie andere Repository-spezifische Anweisungen.

Scanfortschritt verfolgen

Die Workbench zeigt die aktuelle Phase und den gemeldeten Fortschritt an. Wählen Sie Aktivität anzeigen, um die Codex-Aufgabe zu untersuchen. Prüfen Sie das endgültige Ergebnis nach Abschluss des Scans, da sich Befunde ändern können, während Codex die Belege prüft.

Abgeschlossenen Scan überprüfen

Überprüfen Sie das Ergebnis in dieser Reihenfolge:

1. Bestätigen Sie Ziel, Revision und Scanbereich.
2. Lesen Sie nach, welche Angriffsflächen geprüft und welche Bereiche zurückgestellt wurden oder nachträglich geprüft werden sollen.
3. Prüfen Sie für jeden Befund, wie ein Angreifer den betroffenen Code erreicht, welche Schutzmaßnahme versagt und welche Auswirkungen durch die Belege gestützt werden. Lesen Sie die Angaben zur Validierungsmethode und zu offenen Fragen.
4. Untersuchen Sie Befunde mit fehlenden Belegen. Verwerfen Sie einen Befund, wenn Sie erklären können, warum er nicht zutrifft, und bewahren Sie diese Erklärung zusammen mit dem Ergebnis auf.
5. Wählen Sie einen akzeptierten Befund aus, bevor Sie mit einer Korrektur beginnen.

Ein abgeschlossener Scan und eine vollständige Abdeckung sind zwei eigenständige Aussagen. Lesen Sie die Angaben zu zurückgestellten Bereichen auch dann, wenn der Scan erfolgreich abgeschlossen wurde. Eine Validierung anhand des Quellcodes kann einen Befund auch ohne Reproduktion zur Laufzeit stützen. Um Unsicherheiten zu klären, die von der Ausführung abhängen, bitten Sie um eine Validierung des jeweiligen Befunds.

Den ersten Scan als Vergleichsbasis verwenden

Entscheiden Sie vor dem Scan, was Sie vergleichen möchten, etwa die Qualität der Belege oder Fehlalarme. Wenn Sie anhand eines bekannten Befunds testen, halten Sie fest, ob Sie ihn Codex mitgeteilt oder für den Scan zurückgehalten haben.

Dokumentieren Sie Repository-Revision, Plugin-Version, Modell und Reasoning-Aufwand. Verwenden Sie diese Ausgangsbasis, um spätere Scans zu vergleichen, nachdem sich Code, Sicherheitskontrollen oder Scaneinstellungen geändert haben.

Früheren Scan erneut öffnen

Öffnen Sie Sicherheit und wählen Sie unter Scans einen gespeicherten Scan aus, um dessen Befunde, Abdeckung und verfügbare Berichtsartefakte zu prüfen. Um den neuesten Code zu bewerten, starten Sie einen neuen Scan für dasselbe Repository. Der neue Scan ersetzt weder den früheren Scan noch dessen Artefakte.

Ergebnisse verwenden

Öffnen Sie report.md, um einen portablen Bericht zu erhalten, und bewahren Sie beim Teilen oder Archivieren alle Dateien des zugehörigen Scanverzeichnisses zusammen auf. Informationen zu anderen Formaten oder zur Issue-Verfolgung finden Sie unter Befunde exportieren und verfolgen. Nachdem Sie einen Befund akzeptiert haben, generieren und verifizieren Sie eine Korrektur.