Запуск глубокого сканирования безопасности
Выполняйте повторные проверки безопасности репозитория или папки и задавайте ограничения на число параллельных задач и длительность.
Глубокое сканирование запускает несколько независимых стандартных сканирований одного репозитория или папки и объединяет найденные проблемы. Используйте его, когда нужна повторная проверка и вы можете выделить дополнительное время и токены.
Начните со стандартного сканирования, чтобы убедиться, что область и контекст безопасности соответствуют вашей цели. Повторная проверка может выявить проблемы, пропущенные при предыдущем проходе, но не гарантирует обнаружения всех проблем или одинаковых результатов при разных запусках.
Выбор между стандартным и глубоким сканированием
| Стандартное сканирование | Глубокое сканирование | |
|---|---|---|
| Проверка | Одно стандартное сканирование | Несколько стандартных сканирований с объединением найденных проблем |
| Назначение | Первое сканирование или проверка заданной области | Дополнительные независимые проверки той же области |
| Область | Репозиторий или папка | Репозиторий или папка |
| Изменения | Используйте процесс проверки изменений | Не поддерживаются |
Запуск глубокого сканирования
Для наилучшего качества сканирования используйте gpt-5.6-sol
с уровнем рассуждений xhigh.
- Откройте Безопасность > Сканирования и нажмите + Сканирование.
- Выберите репозиторий или папку, выберите Кодовая база и включите Глубокое сканирование. Сканирование проверит выбранный репозиторий или папку целиком.
- Выберите модель и уровень рассуждений. Добавьте сведения о модели угроз или развёртывании в поле Дополнительный контекст.
- Нажмите Начать сканирование.
Вы также можете запустить его из чата Codex:
Use $codex-security:deep-security-scan to run a deep security scan of this repository.Для проверки одного компонента замените «this repository» на путь к его папке.
Исполнители глубокого сканирования наследуют выбранную вами модель и настройки рассуждения. Каждый исполнитель выполняет полное стандартное сканирование, а Codex Security объединяет готовые результаты. Следите за сохранённым сканированием в разделе Scans или выберите View activity, чтобы изучить его задачу Codex. Задайте ограничения выполнения перед запуском, если нужно ограничить число параллельных задач или длительность.
Изучите результат
Глубокое сканирование использует те же сохранённые сведения и полный каталог результатов, что и
стандартное сканирование. Откройте завершённое сканирование в разделе Scans или изучите выявленные проблемы в
разделе Findings. Созданный файл report.md содержит ссылки на подробные отчёты об уязвимостях
или рекомендации по структурному усилению защиты, если вы запросили эти материалы.
Сохраняйте все связанные каталоги findings/ и hardening/ вместе с отчётом при
передаче или архивировании результата.
Изучите сводку охвата перед выявленными проблемами. Даже глубокое сканирование имеет ограничения, поэтому проверьте отложенные области и оставшиеся пробелы в доказательствах, прежде чем делать вывод. Если вы согласны с выявленной проблемой, перейдите к разделу Исправление и проверка выявленной проблемы.
Для проверки pull request, коммита, диапазона между ветками или локального патча используйте раздел Проверка изменений кода. Глубокое сканирование не принимает цели в виде diff.
Настройка времени выполнения глубокого сканирования
Чтобы управлять параллелизмом и длительностью глубокого сканирования, создайте или измените
~/.codex/codex-security/config.toml. Если задан CODEX_HOME, используйте вместо него
$CODEX_HOME/codex-security/config.toml.
Например, этот профиль запускает сокращённое сканирование с ограниченным параллелизмом:
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5| Параметр | Значение по умолчанию | Описание |
|---|---|---|
workers |
4 |
Количество независимых рабочих процессов стандартного сканирования, которые могут выполняться одновременно. Устаревшее значение "auto" также преобразуется в 4. |
subagents |
3 |
Количество субагентов, которые может запустить каждый рабочий процесс. Укажите 0, чтобы отключить их. |
stop_after_no_new |
4 |
Остановить сканирование после указанного количества последовательных завершённых сканирований рабочими процессами, не обнаруживших новых проблем. |
stop_after_consecutive_errors |
3 |
Остановить сканирование после указанного количества последовательных ошибок рабочих процессов. |
max_discovery_runs |
40 |
Ограничить количество независимых запусков стандартного сканирования перед объединением результатов. |
max_time_hours |
96 |
Ограничить время работы рабочих процессов положительным количеством часов, не превышающим 96; при необходимости используйте дробные значения. |
Меньшие значения могут сократить время сканирования и расход токенов, но некоторые проблемы могут быть пропущены. Изменения конфигурации применяются к новым глубоким сканированиям, а не к уже выполняющимся.
По истечении ограничения времени Codex Security останавливает незавершённые рабочие процессы, сохраняет результаты завершённых сканирований и объединяет их в итоговый отчёт. Если ни один рабочий процесс не завершит проверку исходного кода до истечения срока, в отчёте будет указано частичное покрытие.
Для параметра max_time_hours требуется плагин версии 0.1.19 или новее. Подробности о выпуске см. в
журнале изменений плагина.