Codex Security Cloud FAQ

ここでの回答は Codex Security Cloud に適用されます。インストールと初回スキャンについては、 クラウドのセットアップを参照してください。ローカルスキャンには、別途 プラグインと CLI のガイドがあります。

請求

クラウドスキャンの料金はどのように請求されますか？

太平洋時間の 2026 年 10 月 1 日 午後 12 時 53 分より後に設定されたリポジトリスキャンと継続スキャンは、トークン使用量に基づいてご利用プランの料金で請求され、請求プランに応じてクレジットまたは米ドルで精算されます。対象アカウントでは、有料の使用量が請求される前に無料スキャンクレジットが適用されます。

この使用量は、プランに含まれる利用枠の対象外です。

期限前に設定された継続スキャンは、2026 年 10 月 21 日まで無料です。それ以降、有料利用を有効にしている場合は、アカウントの請求プランに基づき通常のトークン料金が請求されます。有効にしていない場合、スキャンは一時停止します。

無料のスキャン期間や無料スキャンクレジットは付与されますか？

付与される内容は、太平洋時間の 2026 年 10 月 1 日午後 12 時 53 分より前に、アカウントで継続スキャンを設定していたかどうかによって異なります。

• 該当する場合、対象となる継続スキャンは 2026 年 10 月 21 日まで無料です。この無料期間は、リポジトリスキャン、および 2026 年 10 月 1 日太平洋時間午後 12:53 より後に設定された継続スキャンには適用されません。
• 該当しない場合、対象アカウントには、継続スキャンの無料期間の代わりに 500 ドル分の無料スキャンクレジットが付与されます。

無料スキャンクレジットはどのように使われますか？

リポジトリスキャンと継続スキャンは、同じ無料残高を使用します。ワークスペース内では、全員がその残高を共有します。この無料スキャンクレジットに有効期限はありません。

無料残高を使い切ると、それ以降のスキャンはアカウントまたはワークスペースの請求プランに基づいて請求されます。

継続スキャンの無料期間が終了するとどうなりますか？

無料期間後もこれらのスキャンを続行するには、スキャンを継続 を選択し、有料利用を有効にします。その後は、アカウントまたはワークスペースの請求プランに基づき、通常のトークン料金で請求されます。

継続を辞退した場合や有料利用を有効にしなかった場合、これらのスキャンは無料期間の終了時に一時停止します。後から有料利用を有効にするには、スキャンを再度有効にする を選択します。ワークスペースでこの選択を行う権限がない場合は、ワークスペースのオーナーに依頼してください。

トークン使用量と料金はどこで確認できますか？

スキャン で対象のスキャンを開くと、トークン使用量とコストを確認できます。トークン数にカーソルを合わせると、入力、キャッシュされた入力、出力のトークン数が表示されます。キャッシュされた入力は入力トークン数に含まれており、別途加算されるものではありません。

使用状況には、無料スキャンクレジットや請求免除の適用前のコストと、無料スキャンクレジットでまかなわれる金額が表示されます。

「請求対象外です。料金は発生しません。」と表示されているスキャンは、トークン使用量やコストが表示されていても、料金は発生しません。

スキャン

スキャンするにはプロジェクトをビルドする必要がありますか？

Codex Security は、ビルドが成功していなくてもソースコードを分析できます。検証では、問題を再現するために依存関係や動作するビルドが必要になる場合があります。これらの要件は、Codex クラウド環境で設定してください。

検証を実行できない場合は、検出事項のうちソースコードから確認できる内容と、ランタイムやデプロイ時の動作に依存する内容を確認してください。

対応している言語は何ですか？

Codex Security は、さまざまな言語のソースコードを分析します。結果は、モデルが言語やフレームワークについて推論する能力と、利用可能なリポジトリのコンテキストによって異なります。スキャンが成功しても、言語やコンポーネントが同じ程度に網羅されているとは限りません。実際にレビューされた範囲はレポートで確認してください。

リポジトリのスキャンとコミットの監視はどう違いますか？

単発スキャン はリポジトリを一度レビューします。継続スキャン は新しいコミットを監視し、選択したコミット履歴もレビューできます。初回スキャンの後に、 新しいコミットを監視するの手順で有効にしてください。

コミットの監視を一時停止できますか？

リポジトリ を開いて対象のリポジトリを選択し、監視設定 を開きます。監視を一時停止 に設定して、保存 を選択します。同じ設定から再び有効にできます。

脅威モデルを編集できますか？

はい。アーキテクチャ、デプロイ構成、セキュリティ上の前提が変わったら、監視対象リポジトリの監視設定 で更新してください。脅威モデルのガイドでは、含めるべき内容を説明しています。変更は今後のスキャンに適用されます。

検出事項と検証

検証によって何が確認できますか？

個々の検出事項に添付された証拠を確認してください。ソース分析では、脆弱性のあるコードパスを特定できます。実行時の証拠では、特定の再現コードやテストで問題が実証されたことを確認できます。

検出事項に記録されたステータスと重大度は、レビューの整理に役立ちます。根拠となる証拠と前提条件を確認し、その問題が自分のシステムに該当するか、何を修正すべきかを判断してください。

検証に失敗した場合はどうなりますか？

試行された検証の内容と、利用可能なログを確認してください。再現コードの実行に失敗した場合、問題が該当しない可能性もありますが、環境やテストが適切でなかった可能性もあります。検出事項を却下したり、再現できたと判断したりする前に、指摘された不足点を解消してください。

スキャンで検出事項が報告されなかった場合はどうすればよいですか？

スキャンが完了し、意図したリポジトリとリビジョンがレビューされたことを確認してください。記録された制限や未完了の作業も確認してください。検出事項が報告されないスキャンでも、脆弱性を見逃している可能性があります。

修正

Codex Security はパッチを自動的に適用しますか？

動作は検出事項によって異なります。リポジトリの検出事項で Codex で修正 を選択すると、 Codex に問題の検証、修正の実装、関連テストの実行を依頼する会話が始まります。その会話で変更内容を確認してください。

パッチが提案されている検出事項では、差分を確認してから ドラフトプルリクエストを作成 を選択してください。ドラフトを作成しても、修正はマージされません。

パッチで問題が修正されたかどうかは、どうすればわかりますか？

元の問題が引き続き再現するか、正常な動作が維持されているかなど、パッチの検証の証拠を確認してください。検証が完了していない場合は、その不確実性を検出事項に記録したままにしてください。パッチの提案、ドラフトプルリクエスト、ステータスの変更だけでは、修正を検証したことにはなりません。