Запуск проверки Codex Security

Используйте стандартное сканирование для проверки репозитория или выбранной папки. В этом руководстве описано, как задать область сканирования, предоставить контекст безопасности и оценить результат. Если плагин ещё не установлен, начните с краткого руководства по плагину.

Для повторных проверок одной и той же области используйте глубокое сканирование. Для пул-реквеста или локального набора изменений проверьте изменения кода.

Выбор области проверки

В настольном приложении откройте Security, выберите Scans, а затем + Scan. Выберите существующий репозиторий или другую папку, после чего выберите Codebase.

Сканируйте весь репозиторий, если нужен широкий охват и репозиторий представляет собой подходящую единицу проверки. Для монорепозитория выберите одну папку, если у сервиса, пакета или компонента есть ответственный и определена граница безопасности.

Проверку также можно запустить из беседы с Codex:

Use $codex-security:security-scan to scan this repository for security vulnerabilities.

Чтобы сосредоточить беседу на конкретной папке, укажите компонент:

Use $codex-security:security-scan to scan only services/billing in this repository for security vulnerabilities.

Настройка проверки

Для наилучшего качества сканирования используйте gpt-5.6-sol с уровнем рассуждений xhigh.

1. Выберите Кодовая база и оставьте Глубокое сканирование выключенным.
2. Проверьте выбранный репозиторий, текущую ветку и последнюю ревизию.
3. В поле Область сканирования выберите весь репозиторий или одну папку.
4. Выберите модель и уровень рассуждений.
5. В поле Дополнительный контекст опишите входные данные, контролируемые атакующим, границы доверия, чувствительные операции или приоритетную область проверки.
6. Нажмите Начать сканирование.

Добавьте SECURITY.md в корень репозитория, чтобы задать постоянные указания по безопасности. Опишите модель угроз, инварианты безопасности, критерии проблем, подлежащих включению в отчёт, исключения и контекст серьёзности. Добавьте вложенные файлы SECURITY.md для указаний, относящихся к конкретным каталогам. Если политики противоречат друг другу, приоритет имеет файл, расположенный ближе всего к коду. Codex Security рассматривает эти файлы как контекст политик, а не как исполняемые инструкции.

Используйте AGENTS.md для поддерживаемых команд сборки и валидации, а также других инструкций, относящихся к конкретному репозиторию.

Отслеживание хода сканирования

На рабочей панели отображаются текущий этап и сведения о ходе выполнения. Нажмите Просмотреть активность, чтобы изучить задачу Codex. Изучите окончательный результат после завершения сканирования, поскольку найденные проблемы могут меняться, пока Codex проверяет подтверждения.

Анализ завершённой проверки

Изучайте результат в следующем порядке:

1. Проверьте объект проверки, ревизию и область сканирования.
2. Изучите проверенные поверхности и области, отложенные или требующие дальнейшей проверки.
3. Для каждой проблемы проверьте, как атакующий получает доступ к затронутому коду, какой защитный механизм не срабатывает и какие последствия подтверждаются доказательствами. Изучите метод проверки и оставшиеся открытыми вопросы.
4. Исследуйте проблемы, для которых не хватает подтверждений. Отклоняйте проблему, если можете объяснить, почему она неприменима, и сохраняйте это объяснение вместе с результатом.
5. Прежде чем приступать к исправлению, выберите одну подтверждённую вами проблему.

Завершение сканирования и полный охват — разные утверждения. Изучите отложенные области, даже если сканирование завершилось успешно. Проверка исходного кода может подтвердить проблему без воспроизведения во время выполнения. Чтобы устранить неопределённость, зависящую от выполнения кода, запросите проверку конкретной проблемы.

Использование первого сканирования как отправной точки

Перед сканированием решите, что вы хотите сравнивать, например качество подтверждений или ложные срабатывания. Если вы проверяете сканирование на известной проблеме, зафиксируйте, сообщили ли вы о ней Codex или скрыли её от сканирования.

Зафиксируйте ревизию репозитория, версию плагина, модель и глубину рассуждений. Используйте эти исходные показатели для сравнения с последующими сканированиями после изменения кода, средств защиты или настроек сканирования.

Повторное открытие предыдущей проверки

Откройте Безопасность, затем выберите сохранённое сканирование в разделе Сканирования, чтобы изучить найденные проблемы, охват и доступные артефакты отчёта. Для оценки последней версии кода запустите новое сканирование того же репозитория. Новое сканирование не заменяет предыдущее сканирование и его артефакты.

Использование результатов

Откройте report.md, чтобы получить переносимый отчёт, и сохраняйте каталог сканирования целиком при передаче или архивировании. Другие форматы и отслеживание задач описаны в разделе Экспорт и отслеживание проблем. После подтверждения проблемы создайте и проверьте исправление.