Codex Security plugin クイックスタート
Codex Security plugin をインストールし、最初の読み取り専用スキャンを実行して、Codex で結果を確認します。
Codex Security はコードの脆弱性をスキャンし、妥当性のある検出結果を検証します。報告対象となる各問題について、結果の確認に必要なエビデンスと修正ガイダンスを提供します。自分が所有しているか、評価する許可を得ているコードのみをスキャンしてください。
このクイックスタートに従ってプラグインをインストールし、Codex でローカルリポジトリの読み取り専用スキャンを実行します。
プラグインをインストールする
- ChatGPT デスクトップアプリで Codex を開きます。
- Plugins を開き、Codex Security を検索するか、Codex Security plugin をインストールを選択します。
- プラグインが有効になっていることを確認し、サイドバーで Security を開きます。
- ターミナルで、評価するリポジトリに移動して Codex を起動します。
codex/pluginsと入力し、Codex Security を検索して、Install plugin を選択します。/newと入力して、リポジトリ用の新しいチャットを開始します。
最初のスキャンを実行する
最良のスキャン品質を得るには、gpt-5.6-sol を
xhigh の推論強度で使用してください。
スキャン設定を開く
サイドバーで Security を選択し、Scans を開いて + Scan を選択します。
コードベースとスキャン範囲を選択する
既存のリポジトリを選択するか、別のフォルダを使用します。Codebase を選択し、Deep scan をオフのままにして、リポジトリ全体または 1 つのフォルダを選択します。ブランチとリビジョンが、意図したスキャン対象のコードを示していることを確認します。
関連するコンテキストを追加する
モデルと推論強度を選択します。レビューの参考にすべき特定の攻撃ベクトル、セキュリティ上重要な領域、リポジトリの詳細を説明する必要がある場合にのみ、Additional context を開きます。
追加のコンテキストを有効にして、攻撃ベクトル、重点領域、関連するセキュリティガイダンスを説明します。 スキャンを開始する
Start scan を選択し、Security ワークベンチでスキャンの各フェーズを確認します。View activity を選択すると、スキャンを実行する Codex タスクを確認できます。
結果を確認する
完了したスキャンを開き、検出結果、カバレッジ、利用可能なレポート成果物を確認します。Findings では複数のスキャンにわたる問題を確認でき、Repositories ではリポジトリのスキャン履歴を確認できます。
Security ワークベンチで、スキャン結果、検出結果、カバレッジを確認します。
通常のスキャンを依頼する
新しいチャットで次のプロンプトを送信します。
Run a Codex Security scan on this repository.スキャンの完了を待つ
Codex はセットアップ用ワークスペースを開かず、ターミナル内でスキャンを実行します。Codex が完了を報告するまで、タスクを実行したままにします。Codex が設定上の制約を特定した場合は、設定の更新を承認する前に、その制約と提案された変更内容を正確に確認してください。
結果を確認する
ターミナルで概要を確認し、生成された
report.mdを開いて完全な結果を確認します。
スキャンによって作成されるもの
完了したスキャンは Scans で引き続き利用できます。Security ワークベンチで検出結果とカバレッジを確認するか、Findings と Repositories で関連する検出結果とリポジトリ履歴を確認します。また、スキャンによって以下のファイルも作成されます。
完了した各スキャンは、ターミナルに概要を表示し、以下のファイルを作成します。
report.md：スキャン結果を読むための主要なエントリポイントです。findings/<slug>/：詳細な脆弱性レポートと、それを裏付ける概念実証ファイルが利用可能な場合に作成されます。hardening/：構造的なセキュリティ強化ガイダンスと、それを裏付ける提案や図が利用可能な場合に作成されます。- 自動化と連携に使用する構造化スキャンデータは、
scan-manifest.json、findings.json、coverage.jsonに保存されます。通常、これらのファイルを自分で開く必要はありません。
結果を共有またはアーカイブする際は、report.md からのリンクが引き続き機能するように、スキャンディレクトリ全体をまとめて保持してください。
次のワークフローを選択する
- Security ワークベンチを使用すると、デスクトップアプリで保存済みスキャン、検出結果、リポジトリ、スキャンアクティビティを管理できます。
- ベータアクセスがあり、構造化された結果を伴う再現可能なターミナルワークフローが必要な場合は、CLI からスキャンを実行する。
- デフォルトのワークフローでリポジトリまたは 1 つのフォルダをスキャンする場合は、標準スキャンまたは対象を限定したスキャンを実行する。
- より包括的なスキャンが必要で、完了まで長く待てる場合は、詳細スキャンを実行する。
- 対象が pull request、コミット、ブランチ範囲、または作業ツリーのパッチである場合は、 コード変更をレビューする。
- 確認が必要な既存のセキュリティ検出結果がある場合は、バックログをトリアージする。
- 修正する検出結果を 1 件承認した後は、 検出結果を修正して検証する。
- JSON、CSV、SARIF、承認が必要な Linear、GitHub、Jira の issue、または非公開の GitHub Security Advisory の下書きが必要な場合は、検出結果をエクスポートまたは追跡する。
- 提供された検出結果、開示メモ、ソース、PoC を洗練された自己完結型のレポートにまとめる場合は、脆弱性レポートを作成する。
- スキャン結果やその他のセキュリティエビデンスに基づく構造的またはアーキテクチャ上の選択肢が必要な場合は、セキュリティ強化策を提案する。