Codex Security スキャンを実行する

標準スキャンを使用すると、リポジトリまたは選択したフォルダーをレビューできます。このガイドでは、対象範囲の設定、セキュリティに関するコンテキストの提供、結果の評価方法を説明します。プラグインをまだインストールしていない場合は、プラグインのクイックスタートから始めてください。

同じ対象範囲を繰り返しレビューするには、ディープスキャンを使用します。プルリクエストやローカルの差分については、 コード変更をレビューしてください。

スキャン範囲を選択する

デスクトップアプリで Security を開き、Scans、+ Scan の順に選択します。既存のリポジトリまたは別のフォルダを選択し、Codebase を選択します。

幅広いカバレッジが必要で、リポジトリがレビューの単位として適切な規模であれば、リポジトリ全体をスキャンします。モノレポでは、サービス、パッケージ、コンポーネントに担当者とセキュリティ境界がある場合、そのフォルダーを選択します。

Codex の会話からスキャンを開始することもできます。

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

その会話で特定のフォルダに重点を置くには、コンポーネントを指定します。

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

スキャンを設定する

スキャンの品質を最大限に高めるには、gpt-5.6-sol を使用し、推論の労力を xhigh に設定します。

1. コードベース を選択し、ディープスキャン はオフのままにします。
2. 選択したリポジトリ、現在のブランチ、最新のリビジョンを確認します。
3. スキャン範囲 をリポジトリ全体に設定するか、フォルダーを 1 つ選択します。
4. モデルと推論の労力を選択します。
5. 追加コンテキスト に、攻撃者が制御できる入力、信頼境界、機密性の高い操作、優先する領域を記述します。
6. スキャンを開始 を選択します。

継続的なセキュリティガイダンスを提供するには、リポジトリのルートに SECURITY.md を追加します。脅威モデル、セキュリティ上の不変条件、報告対象となる検出結果の基準、除外項目、重大度のコンテキストを記述します。ディレクトリ固有のガイダンスには、ネストした SECURITY.md ファイルを追加します。ポリシーが競合する場合は、コードに最も近いファイルが優先されます。Codex Security はこれらのファイルをポリシーのコンテキストとして扱い、実行可能な指示としては扱いません。

サポートされているビルドコマンドや検証コマンド、その他のリポジトリ固有の指示には AGENTS.md を使用します。

スキャンの進捗を確認する

ワークベンチには、現在のフェーズと報告された進捗が表示されます。アクティビティを表示 を選択すると、Codex タスクを確認できます。Codex が根拠を確認している間は検出事項が変わる可能性があるため、スキャンが完了してから最終結果を確認してください。

完了したスキャンを確認する

次の順序で結果を確認します。

1. 対象、リビジョン、スキャン範囲を確認します。
2. レビュー済みの領域と、保留または追加確認が必要な領域を確認します。
3. 各検出事項について、攻撃者が影響を受けるコードに到達する経路、機能しない制御、根拠によって裏付けられる影響を確認します。検証方法と未解決の疑問点も確認します。
4. 根拠が不足している検出事項を調査します。該当しない理由を説明できる場合は検出事項を却下し、その説明を結果とともに保存します。
5. 修正を始める前に、受け入れた検出事項を 1 つ選択します。

スキャンの完了と、対象範囲をすべて網羅したことは別の主張です。スキャンが正常に完了しても、保留された領域を確認してください。実行時の再現がなくても、ソースコードに基づく検証によって検出事項を裏付けられる場合があります。実行しなければ解消できない不確実性がある場合は、その検出事項の検証を依頼してください。

最初のスキャンをベースラインとして使用する

スキャンの前に、根拠の質や誤検出など、比較したい項目を決めておきます。既知の検出事項を使ってテストする場合は、その情報を Codex に提供したか、スキャンには知らせなかったかを記録します。

リポジトリのリビジョン、プラグインのバージョン、モデル、推論の強度を記録します。 このベースラインを使用して、コード、セキュリティ制御、または スキャン設定を変更した後のスキャンと比較してください。

以前のスキャンを再度開く

Security を開き、スキャン から保存済みのスキャンを選択して、検出事項、カバレッジ、利用可能なレポート成果物を確認します。最新のコードを評価するには、同じリポジトリで新しいスキャンを開始します。新しいスキャンによって、以前のスキャンやその成果物が置き換わることはありません。

結果を活用する

持ち運び可能なレポートを表示するには report.md を開き、共有やアーカイブの際にはスキャンディレクトリをまとめて保持してください。その他の形式や課題追跡については、検出事項のエクスポートと追跡を参照してください。検出事項を受け入れたら、修正を生成して検証します。