Guide de démarrage rapide du plugin Codex Security

Installez le plugin Codex Security, lancez une analyse standard d’un dépôt local et examinez les problèmes détectés. L’analyse conserve votre code source intact et enregistre un rapport qui présente les éléments de preuve et les mesures correctives proposées.

Installez le plugin

Vérifiez les versions et les mises à jour

Consultez le journal des modifications du plugin avant de lancer une analyse de longue durée. Pour gérer votre installation, ouvrez Plugins dans l’application de bureau ou saisissez /plugins dans Codex CLI. Pour en savoir plus, consultez le guide des plugins. Après la mise à jour du plugin, démarrez une nouvelle discussion pour charger ses skills et ses outils. Dans Codex CLI, saisissez /new.

Codex et le plugin Codex Security ont des numéros de version distincts. Dans Codex CLI, vérifiez la version de l’hôte et celles des plugins installés avec les commandes suivantes :

codex --version
codex plugin list --json

Repérez Codex Security dans la liste installed. Au début d’une analyse, notez les versions de Codex et du plugin pour pouvoir les indiquer si vous signalez un échec.

Le paquet autonome @openai/codex-security intègre son propre plugin. La mise à jour de ce paquet ne met pas à jour le plugin de la Marketplace utilisé dans Codex. Pour installer le paquet et vérifier sa version, consultez le guide de démarrage rapide de la CLI.

Pour utiliser Amazon Bedrock, configurez l’hôte Codex en suivant le guide d’utilisation d’Amazon Bedrock avec Codex. Le paquet autonome utilise des paramètres distincts, décrits dans la section Paramètres du fournisseur pour la CLI de sécurité.

Lancez votre première analyse

Pour obtenir une analyse de qualité optimale, utilisez gpt-5.6-sol avec le niveau d’effort de raisonnement xhigh.

1. Ouvrez les paramètres de l’analyse

   Sélectionnez Sécurité dans la barre latérale, ouvrez Analyses, puis sélectionnez + Analyse.

2. Choisissez la base de code et le périmètre de l’analyse

   Sélectionnez un dépôt existant ou utilisez un autre dossier. Choisissez Base de code, laissez l’option Analyse approfondie désactivée, puis sélectionnez le dépôt entier ou un seul dossier. Vérifiez que la branche et la révision correspondent bien au code que vous souhaitez analyser.

3. Précisez le contexte de sécurité

   Choisissez le modèle et le niveau d’effort de raisonnement. Ouvrez Contexte supplémentaire uniquement si vous devez décrire un vecteur d’attaque, une partie du code sensible sur le plan de la sécurité ou une particularité du dépôt qui devrait orienter l’analyse.

   

4. Lancez l’analyse

   Sélectionnez Lancer l’analyse et suivez les différentes phases dans l’interface de sécurité. Sélectionnez Afficher l’activité pour examiner la tâche Codex qui exécute l’analyse.

5. Consultez le résultat

   Ouvrez l’analyse terminée pour examiner les problèmes détectés, le périmètre couvert et les fichiers de rapport disponibles. Ouvrez Problèmes détectés pour consulter les problèmes relevés dans plusieurs analyses ou Dépôts pour consulter l’historique des analyses d’un dépôt.

   

Interprétez le résultat

Vérifiez d’abord la cible et la révision. Repérez ensuite les parties du code qui ont été examinées et celles dont l’examen a été reporté. Même une analyse terminée peut laisser certaines parties du code sans couverture. Si l’analyse ne signale aucun problème, cela ne garantit pas l’absence de vulnérabilités.

Ouvrez un problème détecté et examinez les éléments de preuve tirés du code source, les conditions nécessaires à son exploitation par un attaquant, les vérifications effectuées et les incertitudes qui subsistent. La validation peut s’appuyer sur l’analyse du code source sans exécuter de programme reproduisant le problème. Appuyez-vous sur la méthode et les éléments de preuve consignés pour déterminer si votre système est concerné.

Fichiers produits par l’analyse

Dans l’application de bureau, les analyses terminées restent accessibles dans Analyses. Dans Codex CLI, ouvrez le répertoire d’analyse indiqué dans la discussion. Ouvrez report.md pour lire le rapport. Vous pouvez aussi demander des rapports détaillés sur les vulnérabilités dans findings/ et des propositions de conception dans hardening/.

Le répertoire contient également scan-manifest.json, findings.json et coverage.json pour les outils et les automatisations. Lorsque vous partagez ou archivez les résultats, conservez le répertoire entier pour que les liens du rapport continuent de fonctionner.

Choisissez votre prochain workflow

• Configurez le périmètre et le contexte de sécurité de la prochaine analyse ou examinez une modification du code.
• Corrigez un problème détecté et vérifiez la correction après avoir jugé les éléments de preuve suffisants, ou suivez le problème dans un ticket.

Pour découvrir les autres modes d’analyse et workflows, revenez à la présentation de Codex Security.