Executar uma análise do Codex Security

Use uma análise padrão para rever um repositório ou uma pasta selecionada. Este guia explica como definir o âmbito, fornecer contexto de segurança e avaliar o resultado. Se ainda não instalou o plugin, comece pelo guia de início rápido do plugin.

Para revisões repetidas do mesmo âmbito, use uma análise aprofundada. Para um pull request ou um diff local, reveja as alterações de código.

Escolher a área da análise

Na aplicação para computador, abra Security, selecione Scans e selecione + Scan. Escolha um repositório existente ou outra pasta e, em seguida, selecione Codebase.

Analise todo o repositório quando precisar de uma cobertura ampla e o repositório constituir uma unidade de revisão adequada. Num monorepo, escolha uma pasta quando um serviço, pacote ou componente tiver um responsável e um limite de segurança definido.

Também pode iniciar uma análise a partir de uma conversa do Codex:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Para concentrar essa conversa numa pasta específica, identifique o componente:

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Configurar a análise

Para obter a melhor qualidade de análise, use gpt-5.6-sol com um esforço de raciocínio de xhigh.

1. Selecione Base de código e mantenha Análise aprofundada desativada.
2. Confirme o repositório selecionado, o ramo atual e a última revisão.
3. Defina Área de análise para todo o repositório ou escolha uma pasta.
4. Escolha um modelo e o esforço de raciocínio.
5. Use Contexto adicional para descrever entradas controladas por atacantes, limites de confiança, ações sensíveis ou uma área a priorizar.
6. Selecione Iniciar análise.

Adicione SECURITY.md à raiz do repositório para fornecer orientações de segurança persistentes. Descreva o modelo de ameaças, os invariantes de segurança, os critérios de conclusões a comunicar, as exclusões e o contexto de gravidade. Adicione ficheiros SECURITY.md aninhados para orientações específicas de cada diretório. Quando as políticas entram em conflito, prevalece o ficheiro mais próximo do código. O Codex Security trata estes ficheiros como contexto de políticas, não como instruções executáveis.

Utilize AGENTS.md para os comandos de compilação e validação suportados e outras instruções específicas do repositório.

Acompanhar o progresso da análise

O ambiente de trabalho mostra a fase atual e o progresso comunicado. Selecione Ver atividade para examinar a tarefa do Codex. Reveja o resultado final após a análise terminar, pois as constatações podem mudar enquanto o Codex verifica as provas.

Rever a análise concluída

Reveja o resultado pela seguinte ordem:

1. Confirme o alvo, a revisão e a área de análise.
2. Leia as superfícies revistas e quaisquer áreas adiadas ou que exijam acompanhamento.
3. Para cada constatação, verifique como um atacante chega ao código afetado, que controlo falha e que impacto é sustentado pelas provas. Leia o método de validação e quaisquer questões por resolver.
4. Investigue as constatações com provas em falta. Descarte uma constatação quando conseguir explicar por que motivo não se aplica e guarde essa explicação com o resultado.
5. Selecione uma constatação aceite antes de iniciar uma correção.

Uma análise concluída e uma cobertura completa são afirmações distintas. Leia as áreas adiadas mesmo quando a análise termina com êxito. A validação baseada no código-fonte pode sustentar uma constatação sem uma reprodução em tempo de execução. Para resolver incertezas que dependam da execução, peça a validação da constatação específica.

Usar a primeira análise como referência

Antes de analisar, decida o que pretende comparar, como a qualidade das provas ou os falsos positivos. Se fizer um teste com uma constatação conhecida, registe se a forneceu ao Codex ou se a omitiu da análise.

Registe a revisão do repositório, a versão do plugin, o modelo e o esforço de raciocínio. Utilize esta referência para comparar análises posteriores depois de o código, os controlos de segurança ou as definições de análise serem alterados.

Reabrir uma análise anterior

Abra Segurança e, em seguida, selecione uma análise guardada em Análises para rever as respetivas constatações, cobertura e artefactos de relatório disponíveis. Para avaliar o código mais recente, inicie uma nova análise para o mesmo repositório. A nova análise não substitui a análise anterior nem os respetivos artefactos.

Utilizar os resultados

Abra report.md para obter um relatório portátil e mantenha o respetivo diretório de análise completo quando o partilhar ou arquivar. Use Exportar e acompanhar constatações para outros formatos ou para acompanhar problemas. Depois de aceitar uma constatação, gere e verifique uma correção.