Codex Security スキャンを実行する

最初のレビューや、リポジトリまたはコンポーネントの定期的な評価には、標準の Codex Security スキャンから始めてください。スキャンワークフロー全体を 1 回実行します。

より徹底的な評価を行うには、結果を確認してから詳細スキャンを実行します。詳細スキャンは時間がかかりますが、より広範囲を調査します。

スキャン範囲を選択する

デスクトップアプリで Security を開き、Scans、+ Scan の順に選択します。既存のリポジトリまたは別のフォルダを選択し、Codebase を選択します。

広範なカバレッジが必要で、リポジトリが妥当なレビュー単位である場合は、リポジトリ全体をスキャンします。モノレポの場合、サービス、パッケージ、コンポーネントに明確な所有者とセキュリティ境界があるときは、1 つのフォルダを選択します。

Codex の会話からスキャンを開始することもできます。

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

その会話で特定のフォルダに重点を置くには、コンポーネントを指定します。

Use $codex-security:security-scan to scan this repository for security vulnerabilities, focusing on the services/billing component.

スキャンを設定する

最良のスキャン品質を得るには、gpt-5.6-sol を xhigh の推論強度で使用してください。

1. Codebase を選択し、Deep scan をオフのままにします。
2. 選択したリポジトリ、現在のブランチ、最新のリビジョンを確認します。
3. Scan area をリポジトリ全体に設定するか、1 つのフォルダを選択します。
4. モデルと推論強度を選択します。
5. レビューに影響する場合にのみ Additional context を開きます。有用なコンテキストでは、攻撃者が制御できる入力、信頼境界、機密性の高い操作、優先すべき特定の領域を示します。
6. Start scan を選択します。

継続的なセキュリティガイダンスを提供するには、リポジトリのルートに SECURITY.md を追加します。脅威モデル、セキュリティ上の不変条件、報告対象となる検出結果の基準、除外項目、重大度のコンテキストを記述します。ディレクトリ固有のガイダンスには、ネストした SECURITY.md ファイルを追加します。ポリシーが競合する場合は、コードに最も近いファイルが優先されます。Codex Security はこれらのファイルをポリシーのコンテキストとして扱い、実行可能な指示としては扱いません。

サポートされているビルドコマンドや検証コマンド、その他のリポジトリ固有の指示には AGENTS.md を使用します。

各フェーズの完了を待つ

スキャンは次のフェーズを順番に実行します。

1. 脅威モデリングでは、資産、エントリポイント、信頼境界、セキュリティ上の不変条件を特定します。
2. 検出結果の探索では、要求されたコードを確認し、破られている可能性のある制御と source-to-sink パスを探します。
3. 検証では、各候補をテストするなどして確認し、エビデンスまたは証明できていない点を記録します。
4. 影響とパスの分析では、各候補の現実的なパス、影響、重大度を評価します。
5. レポート作成では、検証済みの検出結果、カバレッジ、スキャンメタデータを記録します。標準スキャンでは、検出結果ごとの詳細レポートは任意です。
6. 構造的なセキュリティ強化では、利用可能な場合に検出結果の集合を分析し、設計ガイダンスを作成します。
7. 最終処理では、構造化スキャンの契約を検証し、 report.md を生成します。これには、詳細レポートやセキュリティ強化ガイダンスがある場合、そのリンクも含まれます。

ワークベンチには、実行中のスキャンフェーズと、プラグインから報告された進行状況が表示されます。 View activity を選択すると Codex タスクを確認できます。初期の候補だけで判断したり、あるフェーズが別のフェーズより時間がかかっていることを理由に停止したりせず、完全な結果が得られるまで待ってください。

完了したスキャンを確認する

次の順序で結果を確認します。

1. 対象、リビジョン、スキャン範囲を確認します。
2. レビュー済みの領域と、明示的に延期された領域またはフォローアップが必要な領域をすべて確認します。
3. 各検出結果について、根本となる制御または sink、攻撃者が制御できる入力、検証方法、残っている不確実性、現実的な到達可能性、重大度の根拠、推奨される修正方法を確認します。
4. エビデンスが主張されたパスまたは影響を裏付けていない検出結果は除外します。
5. 修正を開始する前に、承認する検出結果を 1 件選択します。

以前のスキャンを再度開く

Security を開き、Scans から保存済みのスキャンを選択して、検出結果、カバレッジ、利用可能なレポート成果物を確認します。最新のコードを評価するには、同じリポジトリに対して新しいスキャンを開始します。新しいスキャンによって、以前のスキャンやその成果物が置き換えられることはありません。

結果を活用する

Security ワークベンチを使用すると、生の JSON を調べることなく、検出結果、カバレッジ、フォローアップが必要な領域を確認できます。利用可能な場合は report.md を開くと、完全なスキャンディレクトリを読み始めるためのエントリポイントになります。共有またはアーカイブする際は、ディレクトリ全体をまとめて保持してください。任意の成果物が利用可能な場合、レポートから findings/ の詳細レポートや hardening/ の構造的なセキュリティ強化ガイダンスへリンクされています。

ワークスペースの背後では、各スキャンが自動化と連携のために scan-manifest.json、findings.json、 coverage.json を保持します。通常、これらのファイルを自分で開く必要はありません。

検出結果ワークスペースでは、ポータブルな JSON、CSV、SARIF ファイルを作成することもできます。 検出結果をエクスポートまたは追跡するをご覧ください。

次のステップ

担当者が検出結果を承認したら、検出結果を修正して検証するを使用して、範囲を限定した 1 つのパッチを生成し、レビューします。1 つのチャットでスキャンのすべての検出結果を修正するよう Codex に依頼しないでください。