詳細なセキュリティスキャンを実行する
リポジトリまたは範囲を指定したフォルダーを、時間をかけてより徹底的にレビューします。
より徹底的なレビューが必要で、実行時間が長くなってもよい場合は、詳細スキャンを実行します。詳細スキャンではリポジトリをより広範囲に検索し、実行ごとのばらつきを抑えられます。
まず標準スキャンを使用して、対象範囲と結果を確認します。その後、より徹底的な評価が必要な場合に詳細スキャンを使用します。
標準スキャンと詳細スキャンを選択する
| 標準スキャン | 詳細スキャン | |
|---|---|---|
| 最適な用途 | 初回の実行、およびリポジトリやフォルダーの定期的なレビュー | 標準スキャン後の、より徹底的なレビュー |
| ばらつき | 標準 | 低減 |
| 対象範囲 | リポジトリまたは明示的に指定したフォルダー | リポジトリまたは明示的に指定したフォルダー |
| 実行時間とリソース | 少ない | 多い |
| pull requestと差分 | 変更レビューのワークフローを使用 | 非対応。代わりに変更レビューのワークフローを使用します |
詳細スキャンの実行時間を設定する
詳細スキャンの並行処理数と実行時間を制御するには、
~/.codex/codex-security/config.tomlを作成または編集します。CODEX_HOMEを設定する場合は、
代わりに$CODEX_HOME/codex-security/config.tomlを使用します。
たとえば、次のプロファイルでは並行処理数を制限して、短時間のスキャンを実行します。
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10| 設定 | デフォルト | 説明 |
|---|---|---|
workers |
auto |
同時に実行できる検出ワーカーの数。正の整数または"auto"を設定します。 |
subagents |
3 |
各検出ワーカーが起動できるサブエージェントの数。無効にするには0を設定します。 |
stop_after_no_new |
6 |
新しい候補が生成されない実行が、この回数連続した時点で検出を停止します。 |
max_discovery_runs |
60 |
スキャンが検証に移るまでに行う検出実行の上限。 |
値を小さくすると、スキャン時間とトークン使用量を削減できますが、検出事項を見逃す可能性があります。 設定の変更は新しい詳細スキャンに適用され、すでに進行中のスキャンには適用されません。
詳細スキャンを開始する
デスクトップアプリでSecurityを開き、Scans、+ Scanの順に選択します。 リポジトリまたは別のフォルダーを選び、Codebaseを選択して、Deep scanをオンにします。選択したリポジトリまたはフォルダー全体がスキャンされます。
Codexの会話から、リポジトリ全体の詳細スキャンを開始することもできます。
Use $codex-security:deep-security-scan to run a deep security scan of this repository.モノレポ内の1つのコンポーネントを対象にする場合は、フォルダーを明示的に指定します。
Use $codex-security:deep-security-scan to run a deep security scan of /absolute/path/to/repository/services/payments.デスクトップアプリで範囲を限定した詳細スキャンを実行するには、そのフォルダーをコードベースとして選択します。選択したフォルダー全体がスキャンされます。
セットアップと事前チェックを確認する
最高のスキャン品質を得るには、gpt-5.6-solをxhighの推論エフォートで使用します。
- Codebaseを選択し、Deep scanをオンにします。
- リポジトリまたは選択したフォルダーが、スキャン対象として意図したコードであることを確認します。
- モデルと推論エフォートを選択します。
- 具体的な攻撃ベクトル、機密性の高い アプリケーション領域、またはコードからは判別できないリポジトリのコンテキストがある場合は、Additional contextを開きます。
- Start scanを選択します。
- 設定変更を承認する前に、セットアップまたは機能に関する警告を確認します。
詳細スキャンには委任ワーカーが必要です。現在のランタイムが機能要件を満たしていない場合は、標準スキャンを使用するか、十分な容量を利用できるときに再試行してください。
検出ワーカーは、選択したモデルと推論設定を継承します。保存されたスキャンをScansから追跡するか、View activityを選択してCodexタスクを確認します。プラグインを更新したり、長時間実行するスキャンを開始したりする前に、プラグインの変更履歴を確認してください。
結果をレビューする
詳細スキャンでは、標準スキャンと同じ保存済みスキャンの詳細情報と完全なスキャンディレクトリが使用されます。完了したスキャンをScansで開くか、その検出事項をFindingsでレビューします。利用可能な場合、report.mdには、報告対象となる各検出事項の詳細レポートと、検出事項が残っている場合の構造的な強化ポートフォリオへのリンクが含まれます。結果を共有またはアーカイブするときは、リンク先のfindings/およびhardening/ディレクトリをレポートと一緒に保管してください。
検出事項を確認する前に、カバレッジの概要をレビューします。詳細スキャンでは コードをより広範囲に検索しますが、保留された対象領域や証明の不足がある場合は、 依然として結論が制限されます。検出事項を受け入れる場合は、検出事項を修正して 検証するに進みます。
pull request、コミット、ブランチ範囲、またはローカルパッチをレビューするには、コードの 変更をレビューするを使用します。詳細スキャンは、 差分に重点を置いたワークフローの代わりにはなりません。