より徹底的なレビューが必要で、実行時間が長くても問題ない場合は、詳細スキャンを実行します。詳細スキャンではリポジトリをより広範囲に調査するため、実行ごとの結果のばらつきを抑えられます。
まず標準スキャンを実行して、対象範囲と結果を確認します。 その後、より徹底的な評価が必要な場合は詳細スキャンを使用します。
標準スキャンと詳細スキャンの選択
| 標準スキャン | 詳細スキャン | |
|---|---|---|
| 最適な用途 | 初回実行およびリポジトリまたはフォルダーの定期的なレビュー | 標準スキャン後のより徹底的なレビュー |
| ばらつき | 標準 | 低減 |
| 対象範囲 | リポジトリまたは明示的に指定したフォルダー | リポジトリまたは明示的に指定したフォルダー |
| 実行時間とリソース | 少ない | 多い |
| Pull Request と差分 | 変更レビューのワークフローを使用 | サポート対象外。代わりに変更レビューのワークフローを使用 |
詳細スキャンの実行設定
詳細スキャンの同時実行数と実行時間を制御するには、
~/.codex/codex-security/config.toml を作成または編集します。CODEX_HOME を設定している場合は、
代わりに $CODEX_HOME/codex-security/config.toml を使用します。
たとえば、次のプロファイルでは同時実行数を制限し、短時間のスキャンを実行します：
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5| 設定 | デフォルト | 説明 |
|---|---|---|
workers | 4 | 同時に実行できる独立した標準スキャンワーカーの数です。従来の設定値 "auto" も 4 として扱われます。 |
subagents | 3 | 各ワーカーが起動できるサブエージェントの数です。無効にするには 0 を設定します。 |
stop_after_no_new | 4 | ワーカーのスキャンが完了しても新しい検出事項が見つからない状態が指定回数連続すると停止します。 |
stop_after_consecutive_errors | 3 | ワーカーのエラーが指定回数連続すると停止します。 |
max_discovery_runs | 40 | 結果を集約する前に実行する、独立した標準スキャンの回数を制限します。 |
max_time_hours | 96 | ワーカーの実行時間を、96 時間以下の正の値に制限します。必要に応じて小数も指定できます。 |
値を小さくするとスキャン時間とトークン使用量を削減できますが、検出事項を見逃す可能性があります。構成の変更は新しい詳細スキャンに適用され、すでに進行中のスキャンには適用されません。
制限時間に達すると、Codex Security は未完了のワーカーを停止し、完了済みのスキャン結果を保持したうえで、それらを最終レポートに集約します。いずれのワーカーも期限までにソースコードのレビューを完了しなかった場合、レポートにはカバレッジが部分的であることが記録されます。
max_time_hours の設定には、バージョン 0.1.19 以降のプラグインが必要です。
リリースの詳細については、プラグインの変更履歴を参照してください。
詳細スキャンの開始
デスクトップアプリで セキュリティを開き、 スキャン、 + スキャンの順に選択します。 リポジトリまたは別のフォルダーを選び、 コードベースを選択して、 詳細スキャンをオンにします。選択したリポジトリまたはフォルダー全体がスキャン対象になります。
Codex の会話から、リポジトリ全体を対象とする詳細スキャンを開始することもできます：
Use $codex-security:deep-security-scan to run a deep security scan of this repository.モノレポ内の 1 つのコンポーネントを対象にする場合は、フォルダーを明示的に指定します：
Use $codex-security:deep-security-scan to run a deep security scan of /absolute/path/to/repository/services/payments.デスクトップアプリで対象範囲を限定した詳細スキャンを実行するには、フォルダーをコードベースとして選択します。選択したフォルダー全体がスキャン対象になります。
セットアップと事前チェックの確認
最高のスキャン品質を得るには、gpt-5.6-sol を使用し、
推論強度を xhigh に設定します。
- コードベース を選択し、 詳細スキャンをオンにします。
- リポジトリまたは選択したフォルダーにあるコードが、意図したスキャン対象であることを確認します。
- モデルと推論強度を選択します。
- 追加コンテキスト を開き、具体的な攻撃ベクトル、機密性の高いアプリケーション領域、 コードからは把握できないリポジトリのコンテキストを指定します。
- スキャンを開始を選択します。
詳細スキャンのワーカーには、選択したモデルと推論設定が引き継がれます。 各ワーカーが標準スキャンを一通り実行し、Codex Security が 完了済みの結果を集約します。保存済みのスキャンは スキャンで追跡するか、 アクティビティ を表示 を選択して、対応する Codex タスクを確認します。プラグインの 変更履歴は、プラグインを更新したり、 長時間実行するスキャンを開始したりする前に確認してください。
進行中の詳細スキャンのフェーズを追跡し、Codex のアクティビティを確認してから、完了した結果をレビューします。
結果のレビュー
詳細スキャンでも標準スキャンと同じように、スキャンの詳細情報と
スキャンディレクトリ一式が保存されます。完了したスキャンを スキャン で開くか、
検出結果で検出事項をレビューします。これらの出力を要求した場合、生成された report.md には、脆弱性の詳細レポート
または構造的な堅牢化に関するガイダンスへのリンクが記載されます。
リンク先の findings/ および hardening/ ディレクトリは、
結果を共有またはアーカイブする際にレポートと一緒に保管してください。
検出事項を確認する前に、カバレッジの概要をレビューしてください。詳細スキャンにも限界があるため、 結論を出す前に、保留中の調査対象や検証が十分でない点を 確認してください。妥当と判断した検出事項については、検出事項の修正と 検証に進んでください。
Pull Request、コミット、ブランチの範囲、またはローカルパッチをレビューするには、コード変更の レビューを使用します。詳細スキャンで、差分に特化した ワークフローを代替することはできません。