Un análisis profundo ejecuta varios análisis estándar independientes sobre el mismo repositorio o la misma carpeta y combina sus hallazgos. Úsalo cuando quieras revisar el código varias veces y puedas dedicar más tiempo y tokens al análisis.
Empieza con un análisis estándar para comprobar que el alcance y el contexto de seguridad se ajusten a tu objetivo. Una nueva revisión puede detectar problemas que pasaron desapercibidos en una revisión anterior, pero no garantiza que se detecten todos ni que los resultados sean idénticos en cada ejecución.
Elige entre un análisis estándar y uno profundo
| Análisis estándar | Análisis profundo | |
|---|---|---|
| Revisión | Un análisis estándar | Varios análisis estándar cuyos hallazgos se combinan |
| Cuándo usarlo | Para un primer análisis o una revisión con un alcance definido | Para realizar más revisiones independientes con ese mismo alcance |
| Alcance | Repositorio o carpeta | Repositorio o carpeta |
| Cambios | Usa el flujo de trabajo de revisión de cambios | No se admite la revisión de cambios |
Inicia el análisis profundo
Para obtener la mejor calidad de análisis, usa gpt-5.6-sol con el nivel de esfuerzo de razonamiento xhigh.
- Abre Seguridad > Análisis y selecciona + Análisis.
- Elige un repositorio o una carpeta, selecciona Base de código y activa Análisis profundo. El análisis revisa todo el contenido del repositorio o de la carpeta que elijas.
- Elige el modelo y el nivel de esfuerzo de razonamiento. En Contexto adicional, agrega información sobre el modelo de amenazas o el despliegue.
- Selecciona Iniciar análisis.
También puedes iniciarlo desde una conversación de Codex:
Usa $codex-security:deep-security-scan para ejecutar un análisis de seguridad profundo de este repositorio.Para analizar un solo componente, reemplaza “este repositorio” por la ruta de su carpeta.
Los procesos de análisis profundo heredan el modelo y la configuración de razonamiento que elegiste. Cada proceso ejecuta un análisis estándar completo y Codex Security combina los resultados de los análisis que terminan. Sigue el progreso del análisis guardado desde Análisis o selecciona Ver actividad para consultar la tarea de Codex correspondiente. Si necesitas limitar la concurrencia o la duración, establece los límites de ejecución antes de iniciar el análisis.
Sigue la fase en curso del análisis profundo y consulta su actividad en Codex antes de revisar el resultado final.
Revisa el resultado
El análisis solo se completa cuando la etapa final termina correctamente y genera report.md. Por sí solos, ni un mensaje que indique que se combinaron los resultados ni el archivo scan-manifest.json confirman que el análisis se haya completado.
Los análisis profundos guardan los mismos detalles y usan el mismo directorio de análisis completo que los análisis estándar. Abre el análisis completado en Análisis o revisa sus hallazgos en Hallazgos. Cuando solicitas informes detallados de vulnerabilidades u orientación para reforzar la seguridad estructural, el archivo report.md que se genera incluye enlaces a esos recursos. Al compartir o archivar el resultado, conserva junto con el informe los directorios findings/ y hardening/ a los que enlace.
Revisa el resumen de cobertura antes de leer los hallazgos. Incluso un análisis profundo tiene límites. Antes de sacar conclusiones, comprueba qué áreas quedaron pendientes de revisión y qué falta por demostrar. Si aceptas un hallazgo, continúa con Corrige y verifica un hallazgo.
Para revisar un pull request, un commit, un rango entre ramas o un parche local, usa Revisa los cambios de código. Los análisis profundos no admiten diferencias de código como objeto de análisis.
Configura la ejecución del análisis profundo
Para controlar la concurrencia y la duración de un análisis profundo, crea o edita ~/.codex/codex-security/config.toml. Si configuraste CODEX_HOME, usa $CODEX_HOME/codex-security/config.toml.
Por ejemplo, este perfil ejecuta un análisis más corto con concurrencia limitada:
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5| Parámetro | Valor predeterminado | Descripción |
|---|---|---|
workers |
4 |
Número de procesos independientes que pueden ejecutar análisis estándar al mismo tiempo. El valor heredado "auto" también equivale a 4. |
subagents |
3 |
Número de subagentes que puede iniciar cada proceso. Usa 0 para desactivarlos. |
stop_after_no_new |
4 |
Detiene el análisis profundo cuando se completa esta cantidad de análisis consecutivos sin hallazgos nuevos. |
stop_after_consecutive_errors |
3 |
Detiene el análisis profundo cuando los procesos registran esta cantidad de errores consecutivos. |
max_discovery_runs |
40 |
Limita el número de análisis estándar independientes que se ejecutan antes de combinar los resultados. |
max_time_hours |
96 |
Limita el tiempo de ejecución de los procesos a un número de horas mayor que cero y de hasta 96. Puedes usar fracciones de hora. |
Los valores más bajos pueden reducir el tiempo de análisis y el consumo de tokens, pero algunos hallazgos podrían pasar desapercibidos. Los cambios de configuración se aplican únicamente a los análisis profundos nuevos. Los que ya están en curso mantienen su configuración.
Cuando se agota el tiempo, Codex Security detiene los procesos que siguen en ejecución, conserva los resultados de los análisis completados y los combina en el informe final. Si ningún proceso termina de revisar el código fuente antes de que venza el plazo, el informe indica que la cobertura fue parcial.
El parámetro max_time_hours requiere la versión 0.1.19 o posterior del complemento. Consulta el historial de cambios del complemento para conocer los detalles de cada versión.
Qué hacer si el análisis se interrumpe o falla
Comprueba el estado del análisis guardado antes de iniciar otro. En la aplicación de escritorio, abre el análisis en Análisis. En una conversación de Codex, pídele a Codex que compruebe el estado del análisis existente.
- Si la espera termina mientras el análisis sigue activo, vuelve al mismo análisis o a la misma conversación y pídele a Codex que continúe con el análisis. El análisis sigue en curso aunque termine la respuesta o se agote el tiempo de espera.
- Si el análisis indica que terminó con un error definitivo o que se canceló, conserva el mensaje de error y el directorio del análisis guardado. Revisa los hallazgos guardados por separado de los posibles hallazgos que aún están pendientes de confirmación. La cobertura es incompleta, por lo que una lista vacía de hallazgos no demuestra que el código esté libre de vulnerabilidades.
Cuando pidas ayuda, indica qué versión de la CLI de Codex o de la aplicación de escritorio usaste en la ejecución que falló, junto con la versión del complemento, el proveedor, el modelo, el estado del análisis y el mensaje de error exacto. Si compruebas las versiones después de una actualización, pueden ser distintas. Consulta Comprueba las versiones y las actualizaciones.