Codex Security 스캔 실행하기

표준 스캔을 사용하여 저장소나 선택한 폴더를 검토하세요. 이 가이드에서는 범위를 설정하고, 보안 컨텍스트를 제공하고, 결과를 평가하는 방법을 설명합니다. 아직 플러그인을 설치하지 않았다면 플러그인 빠른 시작부터 진행하세요.

동일한 범위를 반복해서 검토하려면 심층 스캔을 사용하세요. 풀 리퀘스트나 로컬 diff는 코드 변경 사항 검토를 진행하세요.

스캔 영역 선택하기

데스크톱 앱에서 Security 를 열고 Scans 를 선택한 다음 + Scan 을 선택합니다. 기존 리포지토리나 다른 폴더를 선택한 다음 Codebase 를 선택합니다.

폭넓은 검사가 필요하고 저장소가 적절한 검토 단위라면 저장소 전체를 스캔하세요. 모노레포에서는 서비스, 패키지 또는 컴포넌트에 담당자와 보안 경계가 정해져 있다면 해당 폴더 하나를 선택하세요.

Codex 대화에서 스캔을 시작할 수도 있습니다.

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

해당 대화의 범위를 특정 폴더로 좁히려면 구성 요소를 지정합니다.

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

스캔 구성하기

최상의 스캔 품질을 얻으려면 gpt-5.6-sol을 사용하고 추론 수준을 xhigh로 설정하세요.

1. 코드베이스 를 선택하고 심층 스캔 은 꺼 두세요.
2. 선택한 저장소, 현재 브랜치, 최신 리비전을 확인하세요.
3. 스캔 영역 을 저장소 전체로 설정하거나 폴더 하나를 선택하세요.
4. 모델과 추론 수준을 선택하세요.
5. 추가 컨텍스트 에 공격자가 제어할 수 있는 입력, 신뢰 경계, 민감한 작업 또는 우선적으로 검토할 영역을 설명하세요.
6. 스캔 시작 을 선택하세요.

지속적으로 적용할 보안 지침을 제공하려면 리포지토리 루트에 SECURITY.md를 추가합니다. 위협 모델, 보안 불변 조건, 보고할 발견 항목의 기준, 제외 사항 및 심각도 컨텍스트를 설명합니다. 디렉터리별 지침에는 중첩된 SECURITY.md 파일을 추가합니다. 정책이 충돌하면 코드에 가장 가까운 파일이 우선합니다. Codex Security는 이러한 파일을 실행 가능한 지침이 아닌 정책 컨텍스트로 취급합니다.

지원되는 빌드 및 검증 명령과 기타 리포지토리별 지침에는 AGENTS.md를 사용합니다.

스캔 진행 상황 확인

워크벤치에는 현재 단계와 보고된 진행 상황이 표시됩니다. 활동 보기 를 선택하여 Codex 작업을 살펴보세요. Codex가 근거를 확인하는 동안 발견 사항이 변경될 수 있으므로 스캔이 끝난 후 최종 결과를 검토하세요.

완료된 스캔 검토하기

다음 순서로 결과를 검토합니다.

1. 대상, 리비전, 스캔 영역을 확인하세요.
2. 검토된 영역과 보류되었거나 후속 검토가 필요한 영역을 읽어 보세요.
3. 각 발견 사항에 대해 공격자가 영향을 받는 코드에 어떻게 접근하는지, 어떤 통제가 실패하는지, 근거가 어떤 영향을 뒷받침하는지 확인하세요. 검증 방법과 아직 해결되지 않은 질문을 읽어 보세요.
4. 근거가 부족한 발견 사항을 조사하세요. 해당하지 않는 이유를 설명할 수 있다면 발견 사항을 기각하고 그 설명을 결과와 함께 보관하세요.
5. 수정을 시작하기 전에 수용한 발견 사항 하나를 선택하세요.

스캔 완료와 전체 범위 검사는 서로 별개의 주장입니다. 스캔이 성공적으로 끝나도 보류된 영역을 읽어 보세요. 소스 기반 검증은 런타임 재현 없이도 발견 사항을 뒷받침할 수 있습니다. 실행을 통해서만 해소할 수 있는 불확실성이 있다면 해당 발견 사항에 대한 검증을 요청하세요.

첫 스캔을 기준으로 사용

스캔하기 전에 근거의 품질이나 오탐 등 비교할 항목을 정하세요. 이미 알려진 발견 사항으로 테스트한다면 해당 정보를 Codex에 제공했는지, 아니면 스캔에 제공하지 않았는지 기록하세요.

저장소 리비전, 플러그인 버전, 모델 및 추론 강도를 기록하세요. 코드, 보안 제어 또는 스캔 설정이 변경된 후 후속 스캔을 비교할 때 이 기준선을 사용하세요.

이전 스캔 다시 열기

Security 를 연 다음 스캔 에서 저장된 스캔을 선택하여 발견 사항, 검사 범위, 사용 가능한 보고서 산출물을 검토하세요. 최신 코드를 평가하려면 동일한 저장소에서 새 스캔을 시작하세요. 새 스캔은 이전 스캔이나 그 산출물을 대체하지 않습니다.

결과 활용하기

독립적으로 사용할 수 있는 보고서는 report.md를 열고, 공유하거나 보관할 때는 스캔 디렉터리 전체를 함께 유지하세요. 다른 형식이나 이슈 추적은 발견 사항 내보내기 및 추적을 참고하세요. 발견 사항을 수용한 후 수정안 생성 및 검증을 진행하세요.