Menjalankan pemindaian Codex Security

Gunakan pemindaian standar untuk meninjau repositori atau folder yang dipilih. Panduan ini menjelaskan cara menetapkan cakupan, memberikan konteks keamanan, dan menilai hasilnya. Jika Anda belum memasang plugin, mulailah dengan panduan mulai cepat plugin.

Untuk peninjauan berulang dengan cakupan yang sama, gunakan pemindaian mendalam. Untuk pull request atau diff lokal, tinjau perubahan kode.

Pilih area pemindaian

Di aplikasi desktop, buka Security, pilih Scans, lalu pilih + Scan. Pilih repositori yang sudah ada atau folder lain, kemudian pilih Codebase.

Pindai seluruh repositori saat Anda memerlukan cakupan luas dan repositori tersebut merupakan unit peninjauan yang sesuai. Untuk monorepo, pilih satu folder jika layanan, paket, atau komponen memiliki penanggung jawab dan batas keamanan.

Anda juga dapat memulai pemindaian dari percakapan Codex:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Untuk memfokuskan percakapan tersebut pada folder tertentu, sebutkan komponennya:

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Konfigurasikan pemindaian

Untuk kualitas pemindaian terbaik, gunakan gpt-5.6-sol dengan tingkat upaya penalaran xhigh.

1. Pilih Basis kode dan biarkan Pemindaian mendalam nonaktif.
2. Konfirmasikan repositori yang dipilih, cabang saat ini, dan revisi terbaru.
3. Atur Area pemindaian ke seluruh repositori atau pilih satu folder.
4. Pilih model dan tingkat upaya penalaran.
5. Gunakan Konteks tambahan untuk menjelaskan input yang dikendalikan penyerang, batas kepercayaan, tindakan sensitif, atau area yang perlu diprioritaskan.
6. Pilih Mulai pemindaian.

Tambahkan SECURITY.md ke root repositori untuk menyediakan panduan keamanan persisten. Jelaskan model ancaman, invarian keamanan, kriteria temuan yang layak dilaporkan, pengecualian, dan konteks tingkat keparahan. Tambahkan file SECURITY.md bertingkat untuk panduan khusus direktori. Jika kebijakan bertentangan, file yang paling dekat dengan kode akan diutamakan. Codex Security memperlakukan file ini sebagai konteks kebijakan, bukan instruksi yang dapat dieksekusi.

Gunakan AGENTS.md untuk perintah build dan validasi yang didukung serta instruksi khusus repositori lainnya.

Pantau kemajuan pemindaian

Ruang kerja menampilkan tahap saat ini dan kemajuan yang dilaporkan. Pilih Lihat aktivitas untuk memeriksa tugas Codex. Tinjau hasil akhir setelah pemindaian selesai, karena temuan dapat berubah saat Codex memeriksa bukti.

Tinjau pemindaian yang telah selesai

Tinjau hasil dengan urutan berikut:

1. Konfirmasikan target, revisi, dan area pemindaian.
2. Baca bagian tentang permukaan yang telah ditinjau serta area yang ditunda atau perlu ditindaklanjuti.
3. Untuk setiap temuan, periksa cara penyerang menjangkau kode yang terdampak, kontrol yang gagal, dan dampak yang didukung bukti. Baca metode validasi dan pertanyaan yang belum terjawab.
4. Selidiki temuan yang buktinya belum lengkap. Abaikan temuan jika Anda dapat menjelaskan mengapa temuan itu tidak berlaku, dan simpan penjelasan tersebut bersama hasilnya.
5. Pilih satu temuan yang diterima sebelum memulai perbaikan.

Pemindaian yang selesai dan cakupan yang lengkap merupakan dua klaim terpisah. Baca area yang ditunda meskipun pemindaian berhasil diselesaikan. Validasi berbasis kode sumber dapat mendukung temuan tanpa reproduksi saat runtime. Untuk mengatasi ketidakpastian yang bergantung pada eksekusi, minta validasi atas temuan tertentu.

Gunakan pemindaian pertama sebagai acuan

Sebelum memindai, tentukan hal yang ingin Anda bandingkan, seperti kualitas bukti atau positif palsu. Jika Anda menguji dengan temuan yang sudah diketahui, catat apakah Anda memberikannya kepada Codex atau tidak menyertakannya dalam pemindaian.

Catat revisi repositori, versi plugin, model, dan upaya penalaran. Gunakan tolok ukur awal ini untuk membandingkan pemindaian berikutnya setelah kode, kontrol keamanan, atau pengaturan pemindaian berubah.

Buka kembali pemindaian sebelumnya

Buka Security, lalu pilih pemindaian yang tersimpan dari Pemindaian untuk meninjau temuan, cakupan, dan artefak laporan yang tersedia. Untuk menilai kode terbaru, mulai pemindaian baru untuk repositori yang sama. Pemindaian baru tidak menggantikan pemindaian sebelumnya atau artefaknya.

Gunakan hasilnya

Buka report.md untuk mendapatkan laporan portabel, dan simpan seluruh isi direktori pemindaiannya bersama-sama saat membagikan atau mengarsipkannya. Gunakan Ekspor dan lacak temuan untuk format lain atau pelacakan masalah. Setelah menerima temuan, buat dan verifikasi perbaikan.