Codex Security プラグインのクイックスタート

Codex Security はコードをスキャンして脆弱性を探し、脆弱性が疑われる検出結果を検証します。報告対象の問題ごとに、結果のレビューに必要な証拠と修正方法のガイダンスを提示します。自分が所有するコード、または評価する許可を得ているコードのみをスキャンしてください。

このクイックスタートに沿ってプラグインをインストールし、Codex でローカルリポジトリの標準の読み取り専用スキャンを実行します。

プラグインのインストール

初回スキャンの実行

スキャンの品質を最大限に高めるには、gpt-5.6-sol を使用し、 推論強度を xhigh に設定します。

1. スキャン設定画面の表示

   サイドバーで「 セキュリティ 」を選択し、「 スキャン」を開いて「 + スキャン」を選択します。

2. コードベースとスキャン範囲の選択

   既存のリポジトリを選択するか、別のフォルダーを使用します。「 コードベース」を選択し、 「 詳細スキャン 」をオフのままにして、リポジトリ全体または 1 つのフォルダーを選択します。 ブランチとリビジョンが、スキャンしたいコードを指していることを確認します。

3. 関連するコンテキストの追加

   モデルと推論強度を選択します。「 追加のコンテキスト 」は、 レビューの指針となる特定の攻撃ベクトル、セキュリティ上重要な領域、 またはリポジトリの詳細を記述する必要がある場合にのみ開きます。

   

4. スキャンの開始

   「 スキャンを開始 」を選択し、セキュリティワークベンチでスキャンの各フェーズの進行状況を確認します。 スキャンを実行する Codex タスクを確認するには、「 アクティビティを表示 」を選択します。

5. 結果のレビュー

   完了したスキャンを開き、検出結果、カバレッジ、利用可能なレポート関連ファイルを確認します。 「 検出結果 」では複数のスキャンにわたる問題をレビューでき、 「 リポジトリ」ではリポジトリのスキャン履歴を確認できます。

   

スキャンの生成物

• report.md：スキャン結果を読みやすい形式で確認するための主要なファイル
• findings/<slug>/：詳細な脆弱性レポートと、 それを裏付ける概念実証ファイルが利用できる場合に作成されるディレクトリ
• hardening/：構造面のセキュリティ強化のガイダンスと、 それを補足する提案や図が利用できる場合に作成されるディレクトリ
• 自動化や連携向けの構造化されたスキャンデータは、scan-manifest.json、findings.json、 coverage.json に保存されます。 これらのファイルを開かなくても、スキャン結果をレビューできます。

結果を共有またはアーカイブするときは、スキャンディレクトリ全体をまとめて保持し、 report.md からのリンクが引き続き機能するようにしてください。

次のワークフローの選択

• セキュリティワークベンチの使用により、デスクトップアプリで 保存済みのスキャン、検出結果、リポジトリ、スキャンアクティビティを管理できます。
• ベータ版へのアクセス権があり、構造化された結果が得られる、繰り返し実行可能なターミナルワークフローが必要な場合は、 CLI からスキャンを実行します。
• 標準スキャンまたは範囲指定スキャンを実行して、 デフォルトのワークフローでリポジトリまたは 1 つのフォルダーをレビューします。
• 初回スキャンを評価して、 結果を既知の問題と照合し、再スキャンのタイミングを判断します。
• 詳細スキャンの実行は、 実行時間が長くなっても問題ない場合に、より徹底的なスキャンを行う方法です。
• コード変更のレビューでは、Pull Request、コミット、 ブランチ範囲、または作業ツリーのパッチを評価します。
• バックログのトリアージでは、 既存のセキュリティ上の検出結果をレビューします。
• 検出結果の修正と検証は、 1 件の検出結果を修正対象として受け入れた後に実施します。
• 検出結果のエクスポートまたは追跡では、 JSON、CSV、SARIF、承認を経て作成する Linear、GitHub、Jira のいずれかのイシュー、 または非公開の GitHub Security Advisory の下書きを作成できます。
• 脆弱性レポートを作成することで、 提供された検出結果、開示メモ、ソースコード、PoC を基に、 単独で完結するレポートにまとめられます。
• セキュリティ強化を提案することで、 スキャン結果やその他のセキュリティ上の根拠に基づいて、 構造面またはアーキテクチャ面の選択肢を検討できます。