詳細なセキュリティスキャンを実行する
リポジトリまたはフォルダーのセキュリティレビューを繰り返し実行し、同時実行数と実行時間の上限を設定します。
ディープスキャンは、同じリポジトリまたはフォルダーに対して複数の独立した標準スキャンを実行し、検出事項を統合します。繰り返しレビューを行いたく、追加の実行時間とトークン使用量を許容できる場合に使用します。
まず標準スキャンを実行し、対象範囲とセキュリティに関するコンテキストが目的に合っていることを確認します。繰り返しレビューすることで、以前のレビューで見逃した問題が見つかる場合がありますが、すべての問題の検出や、実行ごとに同じ結果が得られることは保証されません。
標準スキャンと詳細スキャンを選択する
| 標準スキャン | ディープスキャン | |
|---|---|---|
| レビュー | 標準スキャンを 1 回実行 | 複数の標準スキャンを実行して検出事項を統合 |
| 用途 | 初回のスキャン、または明確に定めた範囲のレビュー | 同じ範囲に対する追加の独立したレビュー |
| 対象範囲 | リポジトリまたはフォルダー | リポジトリまたはフォルダー |
| 変更 | 変更レビューのワークフローを使用 | 非対応 |
ディープスキャンを開始する
スキャンの品質を最大限に高めるには、gpt-5.6-sol を使用し、推論の労力を xhigh に設定します。
- Security > スキャン を開き、+ スキャン を選択します。
- リポジトリまたはフォルダーを選び、コードベース を選択して、ディープスキャン をオンにします。選択したリポジトリまたはフォルダー全体がレビューされます。
- モデルと推論の労力を選択します。追加コンテキスト に脅威モデルやデプロイに関するコンテキストを追加します。
- スキャンを開始 を選択します。
Codex の会話から開始することもできます。
Use $codex-security:deep-security-scan to run a deep security scan of this repository.コンポーネントを 1 つだけ対象にする場合は、「this repository」をそのフォルダーへのパスに置き換えます。
ディープスキャンのワーカーは、選択したモデルと推論設定を引き継ぎます。各ワーカーが標準スキャンを一通り実行し、Codex Security が完了した結果を集約します。保存されたスキャンは スキャン から追跡できます。また、アクティビティを表示 を選択すると、その Codex タスクを確認できます。同時実行数や実行時間を制限する必要がある場合は、開始前に実行時の制限を設定してください。
結果をレビューする
ディープスキャンでは、標準スキャンと同じ、保存されたスキャンの詳細情報と完全なスキャンディレクトリを使用します。スキャン で完了したスキャンを開くか、
検出事項 で検出事項をレビューしてください。詳細な脆弱性レポートや構造的な強化ガイダンスの出力をリクエストした場合、生成された report.md にそれらへのリンクが含まれます。結果を共有またはアーカイブするときは、リンク先の findings/ および hardening/ ディレクトリもレポートとともに保管してください。
検出事項より先に、カバレッジの概要をレビューしてください。ディープスキャンにも限界があるため、結論を出す前に、確認が見送られた対象領域と、立証に必要な証拠の不足を確認してください。受け入れた検出事項については、検出事項の修正と検証に進んでください。
プルリクエスト、コミット、ブランチ間の範囲、ローカルパッチをレビューするには、コード変更のレビューを使用してください。ディープスキャンでは差分を対象に指定できません。
詳細スキャンの実行時間を設定する
詳細スキャンの並行処理数と実行時間を制御するには、
~/.codex/codex-security/config.tomlを作成または編集します。CODEX_HOMEを設定する場合は、
代わりに$CODEX_HOME/codex-security/config.tomlを使用します。
たとえば、次のプロファイルでは並行処理数を制限して、短時間のスキャンを実行します。
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5| 設定 | デフォルト | 説明 |
|---|---|---|
workers |
4 |
同時に実行できる独立した標準スキャンワーカーの数です。従来の "auto" も 4 として解決されます。 |
subagents |
3 |
各ワーカーが起動できるサブエージェントの数です。無効にするには 0 に設定します。 |
stop_after_no_new |
4 |
完了したワーカースキャンで新しい検出結果が生成されない状態が、この回数連続すると停止します。 |
stop_after_consecutive_errors |
3 |
ワーカーエラーがこの回数連続すると停止します。 |
max_discovery_runs |
40 |
集約前に実行する独立した標準スキャンの回数を制限します。 |
max_time_hours |
96 |
ワーカーの実行時間を、96 以下の正の時間数に制限します。必要に応じて小数も使用できます。 |
値を小さくすると、スキャン時間とトークン使用量を削減できますが、検出事項を見逃す可能性があります。 設定の変更は新しい詳細スキャンに適用され、すでに進行中のスキャンには適用されません。
制限時間が経過すると、Codex Security は未完了のワーカーを停止し、 完了したスキャン結果を保持して、最終レポートに集約します。期限までに ソースレビューを完了したワーカーがない場合、レポートには部分的な カバレッジとして記録されます。
max_time_hours 設定を使用するには、plugin バージョン 0.1.19 以降が必要です。リリースの詳細については、
plugin の変更履歴を参照してください。