Lancer une analyse de sécurité approfondie

Une analyse approfondie exécute plusieurs analyses standard indépendantes sur le même dépôt ou dossier, puis regroupe leurs constats. Utilisez-la si vous souhaitez examiner le code à plusieurs reprises et que vous pouvez y consacrer davantage de temps et de tokens.

Commencez par une analyse standard pour vérifier que le périmètre et le contexte de sécurité correspondent à votre objectif. Une nouvelle analyse peut détecter des problèmes qui ont échappé à la précédente, sans garantir une détection exhaustive ni des résultats identiques d’une exécution à l’autre.

Choisir entre une analyse standard et une analyse approfondie

Lancer l’analyse approfondie

Pour obtenir la meilleure qualité d’analyse, utilisez gpt-5.6-sol avec le niveau d’effort de raisonnement xhigh.

Vous pouvez aussi lancer l’analyse depuis une conversation Codex avec la demande suivante.

Utilisez $codex-security:deep-security-scan pour lancer une analyse de sécurité approfondie de ce dépôt.

Pour analyser un seul composant, remplacez « ce dépôt » par le chemin de son dossier.

Les agents chargés de l’analyse approfondie reprennent le modèle et les paramètres de raisonnement que vous avez choisis. Chaque agent exécute une analyse standard complète, puis Codex Security regroupe les résultats des analyses terminées. Suivez l’analyse enregistrée dans Analyses ou sélectionnez Afficher l’activité pour examiner la tâche Codex correspondante. Si vous devez limiter le nombre d’analyses simultanées ou leur durée, définissez les limites d’exécution avant de lancer l’analyse.

Examiner le résultat

L’analyse n’est terminée que lorsque l’étape de finalisation réussit et génère report.md. Un message indiquant la fin du regroupement des résultats ne suffit pas à confirmer que l’analyse est terminée. La seule présence du fichier scan-manifest.json ne suffit pas non plus.

Comme les analyses standard, les analyses approfondies donnent accès aux détails de l’analyse enregistrée et à son répertoire complet. Ouvrez l’analyse terminée dans Analyses ou consultez ses constats dans Constats. Si vous demandez des rapports détaillés sur les vulnérabilités ou des recommandations de durcissement structurel, le fichier report.md généré contient des liens vers ces documents. Lorsque vous partagez ou archivez le résultat, conservez avec le rapport les répertoires findings/ et hardening/ auxquels il renvoie.

Consultez le résumé de la couverture avant d’examiner les constats. Même une analyse approfondie a ses limites. Avant de tirer une conclusion, vérifiez quelles surfaces restent à examiner et quels éléments de preuve manquent encore. Si vous retenez un constat, suivez les étapes de la page Corriger le problème signalé et vérifier la correction.

Pour examiner une pull request, un commit, une plage de révisions sur une branche ou un patch local, suivez les étapes de la page Examiner les modifications du code. Une analyse approfondie ne peut pas cibler un diff.

Configurer l’exécution d’une analyse approfondie

Pour contrôler le nombre d’analyses simultanées et la durée d’une analyse approfondie, créez ou modifiez ~/.codex/codex-security/config.toml. Si vous avez défini CODEX_HOME, utilisez plutôt $CODEX_HOME/codex-security/config.toml.

Par exemple, ce profil réduit la durée de l’analyse et limite le nombre d’agents actifs simultanément.

[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5

Des valeurs plus faibles peuvent réduire la durée de l’analyse et la consommation de tokens, mais certains problèmes risquent de passer inaperçus. Les modifications de la configuration s’appliquent uniquement aux analyses approfondies lancées après la modification.

À l’expiration du délai, Codex Security arrête les agents encore actifs, conserve les résultats des analyses terminées et les regroupe dans le rapport final. Si aucun agent n’a terminé l’examen du code source avant l’échéance, le rapport indique que la couverture est partielle.

Le paramètre max_time_hours nécessite la version 0.1.19 du plugin ou une version ultérieure. Pour connaître le détail des versions, consultez le journal des modifications du plugin.

Gérer une interruption ou un échec

Vérifiez l’état de l’analyse enregistrée avant d’en lancer une autre. Dans l’application de bureau, ouvrez l’analyse dans Analyses. Dans une conversation Codex, demandez à Codex de vérifier l’analyse existante.

• Si l’attente prend fin alors que l’analyse est toujours en cours, revenez à la même analyse ou à la même conversation et demandez à Codex de poursuivre l’analyse. La fin d’une réponse ou l’expiration du délai d’attente n’annule pas l’analyse.
• Si l’analyse signale un échec définitif ou a été annulée, conservez le message d’erreur et le répertoire de l’analyse enregistrée. Examinez séparément les constats enregistrés et les problèmes potentiels qui restent à confirmer. La couverture est incomplète. Une liste de constats vide ne permet donc pas de conclure à l’absence de vulnérabilités dans le code.

Lorsque vous demandez de l’aide, indiquez la version de la CLI Codex ou de l’application de bureau utilisée lors de l’analyse qui a échoué, ainsi que celle du plugin. Précisez également le fournisseur, le modèle, l’état de l’analyse et le message d’erreur exact. Les versions relevées après une mise à jour peuvent être différentes. Consultez la section Vérifier les versions et les mises à jour.