この FAQ は Codex Security クラウドを対象としています。インストールと初回スキャンの手順は、クラウドのセットアップを参照してください。ローカルスキャンには、プラグインと CLI のガイドがそれぞれあります。
請求
クラウドスキャンの料金体系
リポジトリスキャンと、2026 年 10 月 1 日 12 時 53 分（太平洋時間）より後に設定した継続スキャンには、トークン使用量に応じてプランの単価が適用されます。請求単位は、請求プランに応じてクレジットまたは米ドルです。対象アカウントでは、まず無料スキャンクレジットを充当し、残りの利用分を請求します。
スキャンの利用分は、プランに含まれる利用枠の対象外です。
この日時より前に設定した継続スキャンは、2026 年 10 月 21 日まで無料です。その後は、有料利用を有効にすると、アカウントの請求プランに基づき、通常のトークン単価で請求されます。有効にしない場合、スキャンは一時停止します。
無料期間と無料スキャンクレジットの適用条件
どちらが適用されるかは、2026 年 10 月 1 日 12 時 53 分（太平洋時間）より前に、アカウントで継続スキャンを設定していたかどうかで決まります。
- 設定していた場合、対象の継続スキャンは 2026 年 10 月 21 日まで無料です。リポジトリスキャンと、2026 年 10 月 1 日 12 時 53 分（太平洋時間）より後に設定した継続スキャンには、この無料期間は適用されません。
- 設定していなかった場合、条件を満たすアカウントには、継続スキャンの無料期間に代わり、500 米ドル分の無料スキャンクレジットが付与されます。
無料スキャンクレジットの仕組み
リポジトリスキャンと継続スキャンには、共通の無料スキャンクレジットを使用します。ワークスペースでは、全メンバーがこの残高を共有します。無料スキャンクレジットに有効期限はありません。
無料スキャンクレジットを使い切ると、その後のスキャンにはアカウントまたはワークスペースの請求プランに基づいて料金が発生します。
無料期間終了後の継続スキャン
無料期間の終了後も対象のスキャンを続けるには、スキャンを継続を選択し、有料利用を有効にします。その後は、アカウントまたはワークスペースの請求プランに基づき、通常のトークン単価で請求されます。
スキャンを継続しないことを選んだ場合や、有料利用を有効にしなかった場合は、無料期間が終了すると対象のスキャンが一時停止します。後から有料利用を有効にするには、スキャンを再度有効にするを選択します。ワークスペースでこの設定を変更する権限がない場合は、ワークスペースのオーナーに依頼してください。
トークン使用量と料金の確認方法
スキャンで個別のスキャンを開くと、トークン使用量と料金を確認できます。トークン数にポインターを合わせると、入力、キャッシュ済み入力、出力の各トークン数が表示されます。キャッシュ済み入力は入力トークン数に含まれ、別途加算されることはありません。
使用状況には、無料スキャンクレジットの充当や請求免除を適用する前の料金と、無料スキャンクレジットでまかなった金額が表示されます。
「請求対象外です。料金は発生しません」と表示されるスキャンでは、トークン使用量や料金が表示されていても請求は発生しません。
スキャン
スキャンにおけるビルドの要否
Codex Security は、ビルドが成功していなくてもソースコードを解析できます。ただし、検証で問題を再現するには、依存関係や正常に動作するビルドが必要になることがあります。検証に必要な設定は、Codex のクラウド環境で行ってください。
検証を実行できない場合は、検出結果を読み、ソースコードから確認できた点と、実行時やデプロイ先での挙動に依存する点を区別してください。
対応言語
Codex Security はさまざまな言語のソースコードを解析します。結果は、モデルが対象の言語やフレームワークについて推論できる範囲と、リポジトリから得られるコンテキストに左右されます。スキャンが正常に完了しても、すべての言語やコンポーネントを同じ範囲まで調査できたとは限りません。実際に調査した範囲はレポートで確認してください。
リポジトリスキャンとコミット監視の違い
単発スキャンでは、リポジトリを一度だけ調査します。継続スキャンでは、新しいコミットを監視するほか、選択した範囲のコミット履歴も調査できます。初回スキャン後に、新しいコミットの監視の手順に従って継続スキャンを有効にしてください。
コミット監視の一時停止
リポジトリを開き、対象のリポジトリを選択して監視設定を開きます。監視を一時停止に設定し、保存を選択します。同じ設定から監視を再開できます。
脅威モデルの編集
アーキテクチャ、デプロイ構成、セキュリティ上の前提が変わった場合は、監視対象リポジトリの監視設定で脅威モデルを更新してください。記載する内容は、脅威モデルのガイドを参照してください。変更は以降のスキャンに適用されます。
検出結果と検証
検証で確認できること
各検出結果に添付された証拠を確認してください。ソースコードの解析から、脆弱性のある実行経路を特定できる場合があります。実行記録からは、特定の再現手順やテストで問題が実際に発生したかどうかを確認できる場合があります。
各検出結果に記録されたステータスと重大度は、レビューの整理に役立ちます。問題が自分のシステムにも当てはまるか、どこを修正すべきかは、検出の根拠と問題が発生する条件をもとに判断してください。
検証に失敗した場合の確認事項
試行した検証の内容と、利用できるログを確認してください。問題を再現できなかった場合、その環境では問題が発生しない可能性もありますが、検証環境やテストが適切でなかった可能性もあります。検出結果を退けたり、問題を再現できたと判断したりする前に、検証で不足していた点を解消してください。
検出結果がなかった場合の確認事項
スキャンが完了し、意図したリポジトリとリビジョンが調査されたことを確認してください。調査上の制約や未完了の作業が記録されていれば、その内容も確認してください。検出結果がなくても、脆弱性を見逃している可能性があります。
修正
パッチの自動適用の有無
実行される処理は検出結果によって異なります。リポジトリの検出結果で Codex で修正を選択すると、問題の確認、修正の実装、関連テストの実行を Codex に依頼する会話が始まります。その会話で変更内容をレビューしてください。
パッチが提案されている場合は、差分をレビューしてからドラフト pull request を作成を選択してください。ドラフトを作成しただけでは、修正はマージされません。
パッチによる修正の確認方法
パッチの検証記録を確認し、元の問題が引き続き再現するか、想定どおりの動作が保たれているかを確かめてください。検証が完了していない場合は、何が未確認かを検出結果に残してください。パッチの提案、ドラフト pull request の作成、ステータスの変更だけでは、問題が修正されたとは判断できません。