Ejecuta un análisis de Codex Security

Usa un análisis estándar para revisar un repositorio o una carpeta seleccionada. Esta guía explica cómo definir el alcance, proporcionar contexto de seguridad y evaluar el resultado. Si no has instalado el plugin, empieza por la guía de inicio rápido del plugin.

Para revisar repetidamente el mismo alcance, usa un análisis profundo. Para una pull request o un diff local, revisa los cambios de código.

Elige el área de análisis

En la aplicación de escritorio, abre Security, selecciona Scans y selecciona + Scan. Elige un repositorio existente u otra carpeta y, a continuación, selecciona Codebase.

Analiza todo el repositorio cuando necesites una cobertura amplia y el repositorio sea una unidad de revisión razonable. En un monorepo, elige una carpeta cuando un servicio, paquete o componente tenga un responsable y un límite de seguridad.

También puedes iniciar un análisis desde una conversación de Codex:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Para centrar esa conversación en una carpeta concreta, identifica el componente:

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Configura el análisis

Para obtener la mejor calidad de análisis, usa gpt-5.6-sol con un nivel de esfuerzo de razonamiento xhigh.

1. Selecciona Base de código y deja desactivado Análisis profundo.
2. Confirma el repositorio seleccionado, la rama actual y la última revisión.
3. Establece Área de análisis en todo el repositorio o elige una carpeta.
4. Elige un modelo y un nivel de esfuerzo de razonamiento.
5. Usa Contexto adicional para describir las entradas controladas por un atacante, los límites de confianza, las acciones sensibles o un área que deba priorizarse.
6. Selecciona Iniciar análisis.

Añade SECURITY.md a la raíz del repositorio para proporcionar directrices de seguridad persistentes. Describe el modelo de amenazas, las invariantes de seguridad, los criterios de los hallazgos que se deben informar, las exclusiones y el contexto de gravedad. Añade archivos SECURITY.md anidados para proporcionar directrices específicas de cada directorio. Cuando las políticas entren en conflicto, tendrá prioridad el archivo más cercano al código. Codex Security trata estos archivos como contexto de políticas, no como instrucciones ejecutables.

Usa AGENTS.md para los comandos de compilación y validación compatibles y otras instrucciones específicas del repositorio.

Sigue el progreso del análisis

El entorno de trabajo muestra la fase actual y el progreso comunicado. Selecciona Ver actividad para examinar la tarea de Codex. Revisa el resultado final cuando el análisis termine, ya que los hallazgos pueden cambiar mientras Codex comprueba las pruebas.

Revisa el análisis completado

Revisa el resultado en este orden:

1. Confirma el objetivo, la revisión y el área de análisis.
2. Lee las superficies revisadas y las áreas pospuestas o que requieren seguimiento.
3. Para cada hallazgo, comprueba cómo llega un atacante al código afectado, qué control falla y qué impacto respaldan las pruebas. Lee el método de validación y las preguntas pendientes.
4. Investiga los hallazgos a los que les falten pruebas. Descarta un hallazgo cuando puedas explicar por qué no se aplica y conserva esa explicación junto con el resultado.
5. Selecciona un hallazgo aceptado antes de iniciar una corrección.

Que un análisis haya terminado y que la cobertura sea completa son afirmaciones distintas. Lee las áreas pospuestas incluso cuando el análisis termine correctamente. La validación basada en el código fuente puede respaldar un hallazgo sin reproducirlo en tiempo de ejecución. Para resolver una incertidumbre que dependa de la ejecución, solicita la validación del hallazgo específico.

Usa tu primer análisis como referencia

Antes de iniciar el análisis, decide qué quieres comparar, como la calidad de las pruebas o los falsos positivos. Si realizas una prueba con un hallazgo conocido, registra si se lo proporcionaste a Codex o si lo omitiste del análisis.

Registra la revisión del repositorio, la versión del plugin, el modelo y el esfuerzo de razonamiento. Usa esta referencia para comparar análisis posteriores cuando cambien el código, los controles de seguridad o la configuración del análisis.

Vuelve a abrir un análisis anterior

Abre Seguridad y selecciona un análisis guardado en Análisis para revisar sus hallazgos, su cobertura y los artefactos de informe disponibles. Para evaluar el código más reciente, inicia un nuevo análisis del mismo repositorio. El nuevo análisis no sustituye al anterior ni a sus artefactos.

Usa los resultados

Abre report.md para obtener un informe portátil y conserva su directorio de análisis completo al compartirlo o archivarlo. Consulta Exportar y dar seguimiento a hallazgos para usar otros formatos o realizar el seguimiento de incidencias. Tras aceptar un hallazgo, genera y verifica una corrección.