Codex Security プラグインの変更履歴

最新のリリースノート： 0.1.32。

新しいリリースで追加された機能を使う前に、現在の Codex 環境でプラグインのバージョンを確認してください。

この変更履歴では、パッケージとは別に、プラグインのバージョンごとに変更点をまとめています。CLI または SDK をお使いの場合は、npx @openai/codex-security info --json を実行すると、パッケージと同梱プラグインのバージョンをまとめて確認できます。

CLI と SDK の変更点は、Codex Security パッケージのリリース情報をご覧ください。

0.1.32

ディープスキャン完了時の信頼性向上

• プラグインは、スキャンの識別情報と完了手順を集約結果とともに保持します。これにより、Codex がスキャンを完了して report.md を生成できます。
• ワーカーの結果が大量にある場合は、プラグインが少量ずつページ単位で読み込み、集約時にレスポンスのサイズ上限を超えるエラーを防ぎます。
• 解析エラーなど、ワーカーで回復可能なエラーが発生した場合は、プラグインが再試行します。それでも回復できない場合はスキャンを停止します。

設定方法、結果の確認方法、復旧手順については、セキュリティのディープスキャンの実行をご覧ください。

0.1.30（2026 年 9 月 24 日）

• このリリースではプラグインのバージョンを更新しました。動作は 0.1.25 と同じです。

0.1.25（2026 年 9 月 23 日）

スキャン結果と成果物の一括保存

• 保管が必要な証拠と補足資料はスキャンとともに保存し、使い捨てのビルド出力やテスト出力は一時ストレージに置きます。
• スキャンの実行中にプラグイン経由で成果物を保存すると、最終結果や復旧用チェックポイントとともに参照できます。

スキャンの進捗と結果の確認

• 標準スキャンでは、脅威モデリング、検出、検証、攻撃経路の分析、レポート作成の各フェーズが始まるたびに進捗表示が更新されます。

レビュー対象ファイルの拡大と中断の削減

• 変更スキャンでは、変更された GitHub Actions ワークフローファイルも対象に含めます。リポジトリのレビューでは .cjs、.cts、.mts、.tf ファイルも認識します。
• Daybreak のアクセス確認を実行できない場合や結果が不明確な場合は、アクセス警告を表示せずにスキャンを続行します。最新の確認結果でアクセスが許可されていないことが判明した場合は、引き続き登録を促す警告を表示します。
• 選択したプロバイダーで OpenAI 認証が必要な場合、Codex アカウントを持たないディープスキャンワーカーは OPENAI_API_KEY を使用できます。

0.1.24（2026 年 9 月 9 日）

プラグインからの Daybreak アクセス確認

• ChatGPT でサインインしたデスクトップまたは CLI セッションでは、別途 Codex Security Access アプリを接続せずに、スキャン前に Daybreak へのアクセスを確認できます。
• アクセスが許可されていない場合は登録リンクを、アクセスを確認できない場合は警告を表示します。API キーのみを使用するセッションでは、アカウントのアクセス権を確認できません。
• アクセスできない場合や確認に失敗した場合も、通知後にスキャンを続行できます。この通知によってアクセス権が付与されたり、スキャンの実行可否が決まったりすることはありません。

明示的な依頼に基づくセキュリティ修正の検証

• セキュリティ修正の検証を明示的に依頼した場合に限り、$codex-security:verify-fix を実行します。
• 通常の修正の実装、コードレビュー、テストの依頼は従来のワークフローで処理し、検証用の結果形式に自動で切り替えることはありません。

0.1.23（2026 年 9 月 8 日）

提案されたパッチのリスク評価

• $codex-security:assess-patch-risk を使って、対象のリビジョンを正確に特定し、ソースコード上の根拠に照らして変更案をレビューできます。
• 影響、発生可能性、復旧の難しさを、リグレッション防止策とは分けて評価し、推奨判断に影響する証拠の不足を特定します。
• 評価結果には、マージ、修正、変更不要のいずれかを推奨する助言が含まれます。評価によってコードがマージされることはなく、リポジトリの承認ルールは引き続き適用されます。

失敗したスキャンからの保存済み結果の復元

• 失敗したスキャンを選んで復元を依頼すると、スキャンを繰り返さずに、保存済みの有効な検出結果を復元できます。
• 保存済みのスキャンや検出結果を閲覧しても、失敗したスキャンがすべて自動で復元されることはありません。復元後もスキャンのステータスは失敗のままです。実行中、完了済み、またはキャンセル済みのスキャンは復元の対象外です。
• 複数のワーカーが同じ候補識別子を使っていても、異なる検出結果は個別に復元し、有効な証拠と根本原因の詳細を保持します。

スキャン設定とレポートの明確化

• 標準スキャンと変更スキャンで、個々の準備状況チェックの結果を確認できます。スキャンの開始を妨げる問題や警告の詳細も表示されます。
• 設定の問題への対処方法を検討している間も、スキャンは続行可能な状態に保たれます。対話型セッションで設定を永続的に変更するには、引き続きユーザーの承認が必要です。
• ディープスキャンのレポートで、対象に含めるパスと除外するパスの設定を確認できます。
• コンテキストの更新は選択したスキャンにのみ適用し、ワークスペースに保存済みのデフォルト設定を上書きしません。

起動と GitHub トリアージの改善

• プラグインのツールサーバーの起動を最大 2 分間待機し、OpenAI API キーによる認証情報をディープスキャンワーカーに引き継ぎます。
• トリアージ用に検出結果をインポートするときは、明示的に選択した GitHub コネクタを使用します。別の接続やアカウントに切り替える前にユーザーに確認します。

0.1.22（2026 年 8 月 25 日）

既存のセキュリティ修正の検証

• $codex-security:verify-fix を使うと、リポジトリのファイルやイシュートラッカーを変更せずに、報告されたセキュリティ上の問題が既存のパッチで解決するかどうかを確認できます。
• 各検出結果について、fixed、still_vulnerable、inconclusive のいずれかの判定と、その根拠および検証の限界を確認できます。
• 検出した問題の修正ワークフローに、パッチ適用前の調査と適用後のレビューが加わりました。

スキャン停止時の検出結果の保持

• ディープスキャンワーカーの処理が進むにつれて、検出結果と保留中の候補を保存します。
• ワーカーの検出結果のうち採用されたものは、後続の結果統合で漏れが生じたり統合に失敗したりしても、結果に残ります。
• 失敗、キャンセル、中断に終わったスキャンでも有効な結果を保持し、スキャンが正常に完了せず、調査範囲が不完全だったことも記録します。
• 指定されたスキャン用プロンプトをディープスキャンワーカーに引き継ぎ、親セッションのファイルシステムアクセス拒否ルールのうち、サポートされているものを維持します。

Windows とファイルシステムの互換性向上

• スキャン履歴では同じ場所を指す Windows パスを照合でき、Windows のシステム設定を所定の場所から読み込めます。
• Windows で解釈が曖昧になるスキャン成果物のパスを拒否します。
• ハードリンクをサポートしていないファイルシステムにもスキャン結果を保存できます。
• Python 3.10 で、スキャンの UTC タイムスタンプを一貫した方法で読み取ります。

0.1.21（2026 年 8 月 21 日）

プラグインのインストールと起動の安定性向上

• オプションの Codex Security Access アプリがなくてもプラグインをインストールできます。ホスト側のアクセス確認は引き続き参考情報として扱います。
• プラグインの起動時には、Codex に同梱された Node.js ランタイムを使用します。パッケージ内の実行ファイルを直接起動できない Windows 環境も対象です。
• Windows では Git のメタデータを UTF-8 として読み取ります。

検出結果の詳細の保持と SARIF エクスポートの改善

• 保存済みの検出結果、レポート、セキュリティワークベンチの間で、検証内容、攻撃経路の証拠、根本原因の詳細を一貫して保持します。
• GitHub のコードスキャン向けに、読みやすいルール名、修正手順、CWE タグ、セキュリティ上の重大度をエクスポートします。検出結果の識別情報、フィンガープリント、ソースコード上の位置も保持します。

0.1.20（2026 年 8 月 17 日）

ワーカーごとに独立した監査を行うディープスキャン

• ディープスキャンの各ワーカーは、標準スキャンと同じ監査を最初から最後まで実行します。これには脅威モデリング、検証、攻撃経路の分析、調査範囲の報告が含まれます。
• 完了したワーカーのレポートを 1 件のスキャンにまとめます。設定した制限時間と部分的な調査範囲を保持し、再起動後の復旧とキャンセルにも対応します。
• デフォルトでは 4 つのワーカーを並列実行します。完了したスキャンで 4 回連続して新しい検出結果がなければ停止します。ディープスキャン 1 回あたりのワーカー実行回数は最大 40 回です。既存の workers = "auto" 設定では、ワーカー数が 4 になります。ディープスキャンの実行設定をご覧ください。
• ソースコードのレビューを終えたワーカーが最終ドラフトを失った場合は、監査全体を繰り返さずに処理を再開します。

ホスト環境でのスキャン前の Trusted Access for Cyber の確認

• Codex Security Access アプリを利用できる Codex ホストでは、標準スキャン、変更スキャン、ディープスキャンの開始前に Trusted Access のステータスを確認します。
• 保護対象のスキャン出力を利用できない可能性がある場合は、目立つ形で警告を表示します。アクセスが許可されていない場合は、登録リンクも表示します。
• Trusted Access のステータスを確認できない場合やアクセスが許可されていない場合でも、スキャンを続行できます。この通知はスキャンの実行可否を左右しません。
• 0.1.20 の公開 CLI パッケージと SDK パッケージでは、この通知のための確認を行いません。

ディープスキャンの実行環境の拡大

• パッケージからインストールした CLI や SDK でディープスキャンワーカーを起動できます。codex 実行ファイルをグローバルにインストールしていない Windows 環境も対象です。
• スタンドアロンの CLI や SDK のディープスキャン設定は、実行中の他のスキャンから分離します。
• 入れ子になったディープスキャンワーカーでも、非対話型の承認設定を維持します。

障害発生時のスキャン結果の保持範囲の拡大

• 再起動、アーカイブ、引き継ぎからの復旧時に、より多くの保存済みスキャンと完了済みワーカーの結果を保持します。
• 古いスキャンデータや不完全なスキャンデータから、有効な検出結果を復元できます。
• 個別に作成した調査範囲レポートの対象が重複していても、スキャンを完了できます。
• プロバイダーの現在および過去のレスポンス形式のいずれでも、キャッシュ済み入力をトークン使用量の合計に正しく反映します。

0.1.19（2026 年 8 月 13 日）

ディープスキャンの制限時間の設定

• [deep_scan].max_time_hours には、0 より大きく 96 時間以下の値を指定できます。小数での指定も可能です。
• 制限時間に達すると、完了済みの検出結果を保持したまま検証とレポート作成に進みます。
• 制限時間までにソースコードのレビューが 1 件も完了しなかった場合は、レポートに調査が部分的であることを明記します。

スキャンの信頼性向上

• ワーカーが停止した場合や集約処理を再試行した場合でも、完了済みの検出作業の結果を保持します。
• 従来の固定サイズ制限がなくなり、より大きなソースファイルの読み取りやレポートの生成が可能になりました。
• 選択したリビジョンからコミット済みの変更を読み取り、Windows でもリポジトリからの相対パスを保持します。
• OpenRouter と Fireworks の認証情報をディープスキャンワーカーに引き継ぎます。

0.1.18（2026 年 8 月 7 日）

Amazon Bedrock によるセキュリティスキャン

• Amazon Bedrock のベアラートークンや、AWS のプロファイル、リージョン設定、ウェブアイデンティティ、コンテナ認証情報を使ってスキャンを実行できます。
• 処理を委任されたディープスキャンワーカーでも AWS 認証を利用できます。

標準スキャンのワークフローの簡素化

• リポジトリ全体または指定したパスを対象とする標準スキャンを、より簡単なワークフローで実行できます。
• サブディレクトリにある SECURITY.md の指針、正確なスキャン対象範囲、進捗更新、最終スキャンレポートを維持します。

スキャン開始時と完了時の信頼性向上

• プロンプトからスキャンを開始する場合、大規模なリポジトリの初期化を最大 5 分間待ちます。従来のタイムアウトは 30 秒でした。
• ホストがツール名の長さを制限している場合でも、標準スキャンとディープスキャンを完了できます。

ファイルシステム変更後の修正対応

• ファイルシステムの再マウントによってデバイス識別子が変わっても、完了済みのスキャンで検出した問題を修正できます。
• 修正の適用には、引き続き元のチェックアウトと Git リビジョンが必要です。

0.1.17（2026 年 8 月 5 日）

スキャン進捗のリアルタイム表示

• 現在のスキャンフェーズ、経過時間、稼働中のワーカー、レビュー済みファイル、トークン使用量を 1 つの進捗画面でリアルタイムに確認できます。
• リポジトリのレビュー進捗は、スキャン全体の完了を待たず、ファイルごとのレビューが終わるたびに更新されます。

中断したディープスキャンの再開

• コーディネーターが再起動しても、完了済みのファイルレビューを繰り返さずに、進行中のディープスキャンを続行できます。
• アプリの更新やスキャンセッションの中断を挟んでも、完了済みの検出結果、スキャンの所有情報、未処理の作業を保持します。

スキャン開始時と完了時の処理負荷の軽減

• 廃止された埋め込み型スキャンウィジェットを開かずに、標準スキャン、変更スキャン、ディープスキャンをネイティブのワークフローから直接開始できます。
• 構造化された結果全体をリクエストした場合を除き、すべての検出結果を読み直すことなく、完了済みスキャンの概要を再利用します。

0.1.16（2026 年 8 月 4 日）

スキャンで計測したトークン使用量の確認

• メインのスキャンと処理を委任されたワーカーを合わせて、トークン使用量の合計、入力、キャッシュ済み入力、出力を確認できます。
• 使用量の欠測値をゼロと表示せず、完全に計測できた場合、一部のみ計測できた場合、計測値がない場合を区別します。

ディープスキャンの拡充と結果の一貫性向上

• 標準スキャンとディープスキャンのどちらでも、脅威モデリング、検出、検証、攻撃経路の分析、レポート作成という共通のフェーズを使用します。
• CLI または SDK から、ディープスキャンのワーカー、ワーカーごとの委任、検出が飽和したと判断する条件、検出の上限を設定できます。
• モデルがサポートするワーカーランタイムでディープスキャンを実行し、既存のスキャン履歴を失わずに以前のスキャン状態を復元できます。
• 変更スキャンとディープスキャンでは、個別の脆弱性レポートやセキュリティ強化の提案を必要とせず、主要なレポートを生成できます。

スキャン指針とリポジトリの対象範囲の正確な反映

• スキャン中にセキュリティ指針を更新し、その内容を後続のフェーズと処理を委任されたディープスキャンワーカーに引き継げます。
• リクエストしていないネットワークアクセスを許可することなく、リポジトリ URL、pull request への参照、長文のセキュリティコンテキストを保持します。
• 実行中にリポジトリやスキャン対象が変わった場合はスキャンを失敗として扱い、自動処理が古い検出結果を受け入れるのを防ぎます。
• 管理されたネットワーク環境では、企業のプロキシ設定と信頼済み証明書の設定を適用します。

脆弱性レポートの明確化

• ソースコードに基づく脆弱性レポートを作成し、実際に観察した挙動と未検証の仮説を区別します。
• 概念実証で実際に確認できる範囲とその限界、影響を受けるバージョン、セキュリティ境界、具体的な修正手順を記載します。

0.1.15（2026 年 7 月 30 日）

リポジトリ変更時のスキャン結果の保持

• スキャン中にファイルやリポジトリのリビジョンが変わっても、確定した検出結果とレポートは、元のリビジョンまたは作業ツリーのスナップショットに紐付けたまま保持します。
• 選択したコードが変わった場合や対象にアクセスできなくなった場合は、スキャン結果を破棄せず、完了時に警告を表示します。
• 既存のスキャンの出力ディレクトリを別のスキャンに再利用する前に、既存のスキャンをアーカイブします。

レビュー済みの検出結果に対するフィードバックの反映

• 検出結果を誤検知としてクローズする際に、理由を記録できます。
• レビューで誤検知と判断した結果は、同じ対象の後続スキャンに引き継ぎます。別のチェックアウトや無関係な対象には適用しません。
• 同じ問題が再度検出された場合、以前の判断理由が現在のコードとセキュリティ対策にも当てはまる場合に限り、その検出結果を抑制します。

調査範囲を正確に示したうえでの有効な検出結果の復元

• 別の検出結果、レポート、セキュリティ強化の成果物に形式上の不備があっても、有効な検出結果を保持します。読み飛ばしたデータについては警告を表示します。
• 重複する検出結果は、重大度、確信度、裏付けとなる証拠を比較し、最も有力なものを残します。
• Codex が検出結果、レビューの実施記録、追加調査が必要な箇所を確認できない場合は、調査範囲が部分的であることを明記します。
• 調査範囲の不足やレビューの先送りに関する警告を SARIF エクスポートに含めます。

スキャン設定と進捗の可視化

• 標準スキャンとディープスキャンでは、選択したモデルと推論強度をスキャンとともに保存し、再読み込み後もスキャン履歴と進捗を一貫して表示します。
• ディープスキャンでは、独立したレビューのうち実行中の件数と完了した件数を表示し、結果の統合が始まったことも示します。
• 標準スキャンでは、対象ファイルのリストを 1 つに保ち、候補のレビューを 1 回で行いながら、利用可能なワーカーの処理能力に合わせて検出処理を調整します。

対応するリポジトリとファイルシステム構成の拡大

• 作業ツリーのスナップショットに、入れ子になった Git リポジトリを含めます。
• 対象ファイルのパスを記述どおりに保持し、Windows で大文字と小文字を区別しないパスにも対応します。
• スキャンの事前チェックで、設定された CODEX_HOME の先頭にある ~ を展開します。

0.1.14（2026 年 7 月 28 日）

スキャン履歴と繰り返し検出される問題の確認

• リポジトリ、検出結果、スキャン履歴を絞り込めます。結果はページごとに件数を制限して表示し、ステータスの詳細も把握しやすくなりました。
• 保存した設定でスキャンを再実行できます。完了済みのスキャンを比較すると、新規、継続、解決済み、再スキャンの対象外だった検出結果を区別できます。
• 同じリポジトリの Worktree をグループ化し、各画面でリポジトリと検出結果を一貫した識別情報で扱います。

リポジトリのセキュリティポリシーの定義

• $codex-security:define-security-policy を使って、対象範囲ごとの SECURITY.md の指針を確認・更新できます。対象となる項目は、信頼境界、常に満たすべきセキュリティ条件、報告対象の検出結果、重大度、除外項目、許容するリスクです。
• 対象に最も近いポリシーファイルを適用します。ファイルサイズには上限を設け、リポジトリ外を指すシンボリックリンクは拒否します。

追跡を始める前の検出結果のレビュー

• 完了済みのスキャンから最大 25 件の検出結果を選び、Linear または GitHub イシューで追跡できます。
• 検出結果のワークスペースから直接イシューを作成せず、選択した検出結果を Codex に戻してレビューと承認を行います。

標準スキャンのワークフローの簡素化

• リポジトリ全体または指定したパスを対象とする標準スキャンでは、一定のルールで作成した単一の対象ファイルリストと、簡潔な候補一覧を使用します。
• スキャン工程の繰り返しを減らしつつ、従来どおりマニフェスト、検出結果、調査範囲、レポート、SARIF を出力します。

0.1.13（2026 年 7 月 25 日）

より幅広い環境での検出結果のレビュー

• 影響を受けるコードがローカル用、社内用、トレーニング用、または本番環境に未デプロイであっても、実在するセキュリティ上の問題を検出結果に残します。
• デプロイ状況や外部への露出状況は、重大度と確信度の調整に使います。これらの状況だけで検出結果を自動的に抑制することはありません。

0.1.12（2026 年 7 月 23 日）

ディープスキャンと進捗表示の改善

• ワーカーが連携して、リポジトリ全体または選択したディレクトリを対象にディープスキャンを実行できます。
• モデルと推論の設定を、委任先のスキャン処理に引き継ぎます。
• スキャンの開始前と実行中に、事前チェックの結果、スキャンの進捗、利用可能なワーカーの処理能力、フォールバック時の動作を確認できます。

過去のスキャンの確認と再実行

• セキュリティスキャンの一覧から、現在のスキャンと過去のスキャンを開けます。
• 保存済みのスキャンを検出結果のワークスペースで開き直したり、再実行して結果を更新したりできます。
• 完了時の状態がより明確になり、検出結果の詳細とスキャン履歴の表示に一貫性が増しました。

作業を中断せずに行えるスキャン設定

• 現在のタスクを離れずに、ネイティブの設定画面からスキャンを開始できます。
• Codex が全画面モードでも、スキャン設定はサイドパネルに表示されます。
• 設定画面が不要な場合は閉じることができ、その選択は以降のスキャンにも引き継がれます。

検証済みの検出結果のレビューと修正

• 検証済みであれば、重大度の低い問題も完了済みスキャンの結果に残します。
• スキャン、レポート、エクスポートのいずれでも、より一貫した内容で検出結果の詳細を確認できます。
• 修正を再試行でき、関連するスキャンのコンテキストを後続の修正に引き継げます。

既存のセキュリティワークフロー向けの結果エクスポート

• 確定した検出結果を JSON、CSV、SARIF 形式でエクスポートできます。
• コードスキャンやセキュリティツールとの連携に使う SARIF 形式の結果をローカルで生成できます。
• どの形式でエクスポートしても、検出結果の詳細を一貫して保持します。

0.1.11（2026 年 7 月 10 日）

検出結果とセキュリティ強化に関する詳細レポートの作成

• 報告対象の検出結果ごとに、ソースコードに基づく脆弱性レポートを 1 件生成します。裏付けとなる概念実証ファイルがあれば、それも含めます。
• 検出結果全体、技術上のトレードオフ、移行の選択肢を分析した、構造的なセキュリティ強化案の一覧を確認できます。各案の根拠を示す図も含まれます。
• report.md から、findings/ と hardening/ 以下に生成されたこれらの成果物を参照できます。結果を共有またはアーカイブするときは、スキャンディレクトリ全体をひとまとめにしてください。

レポート作成ワークフローの直接実行

• $codex-security:vulnerability-writeup を使うと、Codex Security スキャンを先に実行しなくても、脆弱性の開示資料、検出結果の草案、概念実証、ソースコードから、内容を整理したレポートを作成できます。
• $codex-security:propose-security-hardening を使うと、スキャン、検出結果、インシデントや評価の資料、ソースコードを根拠に、構造やアーキテクチャを改善するための選択肢を作成できます。

リポジトリの指針と調査範囲の一貫した適用

• ルートまたはサブディレクトリの SECURITY.md に、脅威モデルの前提、常に満たすべきセキュリティ条件、報告対象とする基準、除外項目、重大度の判断に必要な背景情報を定義できます。適用対象のうち、最も近いファイルが優先されます。
• 検証前にリポジトリのレビュー範囲を広げる一方で、明示的にレビューを先送りした箇所や、証拠が不足している点の記録を保持します。
• 変更スキャンでは削除されたソースファイルもレビューし、検証前に行うリポジトリレビューのデフォルトの対象範囲を広げます。
• ディープスキャンの開始前に、各フェーズで使用するスキル、委任先のワーカー、利用可能なワーカーの処理能力を確認します。

0.1.10（2026 年 6 月 23 日）

Jira と Linear のチケット取り込みの改善

• Linear のサブイシューを取り込む前にユーザーに確認し、結果にも親子関係を保持します。
• 接続が未設定の場合、権限が不足している場合、チケットにアクセスできない場合、コネクタに一時的な障害がある場合を区別します。
• 指定したチケットの内容を取得できない場合は、判定を出さずに処理を停止します。
• 確認済みキューと要レビューキューのそれぞれで、1 から始まる重複のない正の整数を順位として割り当てます。

コード変更レビューの信頼性向上

• 調査対象のコミットを実際の親コミットと比較し、差分の対象を検出結果のワークスペースに保持します。
• パッチの状態を取得できない場合は、別の変更をレビューせず、取得できないことを報告します。
• トリアージ結果と検出結果のコンテキストを、より一貫した内容で確認できます。

0.1.9（2026 年 6 月 18 日）

検出結果のワークスペースでのスキャンレビュー

• 完了済みのスキャンを専用のワークスペースでレビューできます。検出結果、調査範囲、重大度、確信度、スキャン成果物をまとめて確認できます。
• 検出結果を絞り込んだり、確信度の高い順などに並べ替えたりできます。更新時もワークスペースの状態は保持されます。
• 検出結果を開くと、ソースコード上の証拠、検証の詳細、問題箇所への到達可能性、影響、修正手順を 1 か所で確認できます。

スキャン設定の簡素化

• Git リポジトリ、個別のフォルダー、Git 履歴のないコードベースを対象に標準スキャンを実行できます。ディープスキャンでも特定のフォルダーを指定できます。
• 実行中のスキャンをキャンセルできます。中断したスキャンは、設定を再度求められることなく再開できます。複数のディープスキャンを同時に開始する前には警告が表示されます。
• 設定状況と進捗を把握しやすくなりました。進捗は簡潔にまとめて表示し、エラーは対処するまで表示し続けます。

持ち運びと検証が可能な結果のエクスポート

• 完了済みスキャンは共通の形式で保存します。マニフェスト、構造化された検出結果、調査範囲のデータ、Markdown レポートは、いずれも同じ正規の結果から生成します。
• 分析、アーカイブ、他のセキュリティツールとの連携のために、検出結果を JSON、CSV、SARIF 形式でエクスポートできます。
• Windows パスやスキャンのロックがファイルシステムへのアクセスに影響する場合も含め、スキャンをより確実に完了できるようになりました。

既存の検出結果のトリアージと追跡

• スキャナー、セキュリティアドバイザリ、バグバウンティの報告、GitHub、Jira、Linear、Codex Security の結果から得た既存の検出結果を、現在のコードベースに照らしてトリアージできます。このワークフローは、証拠に基づく判定と、対応すべき項目を優先度順に並べたキューを返します。
• 選択した検証済みの検出結果は、Linear、Jira、または GitHub イシューで追跡できます。リポジトリがアドバイザリの要件を満たしている場合は、非公開の GitHub Security Advisory の下書きを作成することもできます。
• 書き込みを承認する前に、重複チェックの結果、情報源のコンテキスト、書き込み先の公開範囲、実際に書き込む予定の内容を確認できます。作成または更新の後、Codex は結果を読み戻して検証します。

0.1.7（2026 年 6 月 4 日）

証拠に基づくセキュリティレビュー

• リポジトリまたは選択したフォルダーをスキャンして、セキュリティ上の脆弱性を検出できます。
• より網羅的な調査が必要な場合は、リポジトリ全体で検出処理を繰り返し実行できます。
• pull requests、コミット、ブランチ間の差分、ローカルパッチをレビューし、セキュリティ上のリグレッションを確認できます。
• スキャンレポートを生成する前に、各候補について脅威モデリング、問題の検出、検証、影響分析を順に行います。
• 採用した検出結果のうち 1 件について、パッチで修正し、リグレッションテストを追加して、元の問題が解消したことを検証できます。