標準スキャンを使うと、リポジトリ全体または選択したフォルダーをレビューできます。このガイドでは、スキャン範囲の設定、セキュリティに関するコンテキストの指定、結果の評価について説明します。プラグインをまだインストールしていない場合は、プラグインのクイックスタートから始めてください。
同じ範囲を繰り返しレビューする場合は、詳細スキャンを使います。pull request やローカルの差分を確認する場合は、コード変更のレビューを参照してください。
スキャン範囲の選択
デスクトップアプリで「セキュリティ」を開き、「スキャン」、「+ スキャン」の順に選択します。既存のリポジトリまたは別のフォルダーを選び、「コードベース」を選択します。
広い範囲を確認する必要があり、リポジトリ全体をひとまとまりとしてレビューするのが妥当な場合は、リポジトリ全体をスキャンします。モノレポで、サービス、パッケージ、コンポーネントのいずれかに担当者とセキュリティ境界が定まっている場合は、それに対応するフォルダーを 1 つ選びます。
Codex との会話からスキャンを開始することもできます。
$codex-security:security-scan を使って、このリポジトリ全体をスキャンし、セキュリティ上の脆弱性がないか調べてください。その会話でスキャン対象を特定のフォルダーに絞るには、対象のコンポーネントを指定します。
$codex-security:security-scan を使って、このリポジトリの services/billing のみをスキャンし、セキュリティ上の脆弱性がないか調べてください。スキャンの設定
スキャンの品質を最大限に高めるには、モデルに gpt-5.6-sol を使用し、推論強度を xhigh に設定します。
- 「コードベース」を選択し、「詳細スキャン」はオフのままにします。
- 選択したリポジトリ、現在のブランチ、最新のリビジョンを確認します。
- 「スキャン範囲」でリポジトリ全体を指定するか、フォルダーを 1 つ選びます。
- モデルと推論強度を選択します。
- 「追加のコンテキスト」に、攻撃者が制御できる入力、信頼境界、セキュリティ上重要な操作、優先的に確認したい範囲などを記入します。
- 「スキャンを開始」を選択します。
継続的に適用するセキュリティ方針は、リポジトリのルートに SECURITY.md を追加して記載します。脅威モデル、セキュリティ上常に満たすべき条件、検出事項を報告する基準、除外対象、重大度の判断に必要な情報を記述してください。ディレクトリ固有の方針は、該当するディレクトリに SECURITY.md を追加して記載します。方針が競合する場合は、対象のコードに最も近いファイルが優先されます。Codex Security はこれらのファイルを方針を把握するためのコンテキストとして扱い、そこに書かれた指示を実行することはありません。
サポートされているビルドコマンドや検証コマンド、その他のリポジトリ固有の指示は AGENTS.md に記載します。
スキャンの進捗確認
ワークベンチには、現在のフェーズと報告された進捗が表示されます。「アクティビティを表示」を選択すると、Codex のタスクを確認できます。Codex が根拠を確認している間は検出事項が変わることがあるため、最終結果はスキャン完了後に確認してください。
完了したスキャンのレビュー
次の順序で結果を確認します。
- 対象、リビジョン、スキャン範囲を確認します。
- レビュー済みの箇所に加え、レビューを保留した箇所や追加確認が必要な箇所にも目を通します。
- 検出事項ごとに、攻撃者がどのように対象のコードに到達するのか、どの防御策が機能しないのか、確認できた根拠からどのような影響が想定されるのかを調べます。検証方法と未解決の疑問点も確認します。
- 根拠が不足している検出事項は調査します。該当しない理由を説明できる場合は、その検出事項を却下し、理由を結果とともに記録します。
- 修正に着手する前に、妥当と判断した検出事項を 1 件選びます。
スキャンが完了しても、対象範囲をすべてレビューできたとは限りません。スキャンが正常に終了した場合も、レビューを保留した箇所を確認してください。実行環境で問題を再現していなくても、ソースコードの検証で検出事項の裏付けが得られることがあります。実行しなければ判断できない点が残る場合は、該当する検出事項を指定して検証を依頼してください。
検出事項の重大度、検証状況、根本原因、攻撃経路を確認します。
初回スキャンを基準にした比較
スキャンの前に、根拠の質や誤検出の有無など、何を比較するかを決めます。既知の問題を使ってスキャンを評価する場合は、その問題をあらかじめ Codex に伝えたか、伝えずにスキャンしたかを記録してください。
リポジトリのリビジョン、プラグインのバージョン、モデル、推論強度を記録します。コード、セキュリティ対策、スキャン設定を変更した後は、初回のスキャンを基準にして、その後のスキャン結果を比較します。
過去のスキャンの再表示
「セキュリティ」を開き、「スキャン」から保存済みのスキャンを選択すると、検出事項、レビュー済みの範囲、利用可能なレポート関連ファイルを確認できます。最新のコードを評価するには、同じリポジトリで新しいスキャンを開始します。新しいスキャンを実行しても、以前のスキャンやその成果物は上書きされません。
結果の活用
持ち運び可能な形式でレポートを読むには、report.md を開きます。共有またはアーカイブする際は、スキャンのディレクトリを丸ごと含めてください。他の形式でのエクスポートや課題の追跡については、検出事項のエクスポートと追跡を参照してください。検出事項が妥当だと判断したら、修正を生成して検証します。