Exécuter une analyse Codex Security

Utilisez une analyse standard pour examiner un dépôt ou un dossier sélectionné. Ce guide explique comment définir le périmètre, fournir le contexte de sécurité et évaluer le résultat. Si vous n’avez pas installé le plugin, commencez par le guide de démarrage rapide du plugin.

Pour examiner plusieurs fois le même périmètre, utilisez une analyse approfondie. Pour une pull request ou un diff local, examinez les modifications du code.

Choisir la zone à analyser

Dans l’application de bureau, ouvrez Security, sélectionnez Scans, puis + Scan. Choisissez un dépôt existant ou un autre dossier, puis sélectionnez Codebase.

Analysez l’ensemble du dépôt lorsque vous avez besoin d’une large couverture et que le dépôt constitue une unité d’examen adaptée. Pour un monorepo, choisissez un dossier lorsqu’un service, package ou composant possède un responsable et une frontière de sécurité.

Vous pouvez également lancer une analyse depuis une conversation Codex :

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Pour concentrer cette conversation sur un dossier particulier, indiquez le composant :

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Configurer l’analyse

Pour obtenir la meilleure qualité d’analyse, utilisez gpt-5.6-sol avec un effort de raisonnement xhigh.

1. Sélectionnez Base de code et laissez Analyse approfondie désactivé.
2. Vérifiez le dépôt sélectionné, la branche actuelle et la dernière révision.
3. Définissez Zone d’analyse sur l’ensemble du dépôt ou choisissez un dossier.
4. Choisissez un modèle et un effort de raisonnement.
5. Utilisez Contexte supplémentaire pour décrire les entrées contrôlées par un attaquant, les frontières de confiance, les actions sensibles ou une zone à examiner en priorité.
6. Sélectionnez Lancer l’analyse.

Ajoutez SECURITY.md à la racine du dépôt pour fournir des consignes de sécurité persistantes. Décrivez le modèle de menace, les invariants de sécurité, les critères de signalement des résultats, les exclusions et le contexte de sévérité. Ajoutez des fichiers SECURITY.md imbriqués pour fournir des consignes propres à certains répertoires. En cas de conflit entre les règles, le fichier le plus proche du code prévaut. Codex Security traite ces fichiers comme un contexte de règles, et non comme des instructions exécutables.

Utilisez AGENTS.md pour indiquer les commandes de compilation et de validation prises en charge ainsi que les autres instructions propres au dépôt.

Suivre la progression de l’analyse

L’espace de travail affiche la phase en cours et la progression signalée. Sélectionnez Voir l’activité pour examiner la tâche Codex. Consultez le résultat final une fois l’analyse terminée, car les problèmes détectés peuvent évoluer pendant que Codex vérifie les éléments probants.

Examiner l’analyse terminée

Examinez le résultat dans l’ordre suivant :

1. Vérifiez la cible, la révision et la zone d’analyse.
2. Consultez les surfaces examinées et les zones dont l’examen a été différé ou nécessite un suivi.
3. Pour chaque problème détecté, vérifiez comment un attaquant atteint le code concerné, quel contrôle échoue et quel impact est étayé par les éléments probants. Consultez la méthode de validation et les questions encore ouvertes.
4. Examinez les problèmes pour lesquels des éléments probants manquent. Écartez un problème lorsque vous pouvez expliquer pourquoi il ne s’applique pas, et conservez cette explication avec le résultat.
5. Sélectionnez un problème confirmé avant de commencer à le corriger.

Une analyse terminée et une couverture complète sont deux choses distinctes. Consultez les zones dont l’examen a été différé même lorsque l’analyse se termine avec succès. Une validation fondée sur le code source peut étayer un problème sans reproduction à l’exécution. Pour lever une incertitude qui dépend de l’exécution, demandez une validation du problème concerné.

Utiliser votre première analyse comme référence

Avant de lancer l’analyse, décidez des éléments à comparer, comme la qualité des éléments probants ou les faux positifs. Si vous effectuez un test à partir d’un problème connu, indiquez si vous l’avez communiqué à Codex ou si vous l’avez gardé hors du contexte de l’analyse.

Consignez la révision du dépôt, la version du plugin, le modèle et l’effort de raisonnement. Utilisez cette référence pour comparer les analyses ultérieures après une modification du code, des contrôles de sécurité ou des paramètres d’analyse.

Rouvrir une analyse précédente

Ouvrez Security, puis sélectionnez une analyse enregistrée dans Analyses pour examiner les problèmes détectés, la couverture et les fichiers de rapport disponibles. Pour évaluer le code le plus récent, lancez une nouvelle analyse du même dépôt. La nouvelle analyse ne remplace pas l’analyse précédente ni les fichiers qu’elle a produits.

Utiliser les résultats

Ouvrez report.md pour obtenir un rapport portable, et conservez l’intégralité de son dossier d’analyse lorsque vous le partagez ou l’archivez. Consultez Exporter et suivre les problèmes détectés pour utiliser d’autres formats ou assurer le suivi des problèmes. Après avoir confirmé un problème, générez et vérifiez un correctif.