이 문서는 Codex Security 클라우드를 기준으로 설명합니다. 설치하고 첫 스캔을 실행하려면 클라우드 설정 가이드를 참고하세요. 로컬 스캔은 플러그인 가이드와 CLI 가이드에서 각각 설명합니다.
요금
클라우드 스캔 요금은 어떻게 계산하나요?
2026년 10월 1일 오후 12시 53분(태평양 시간) 이후에 설정한 리포지터리 스캔과 지속적 스캔에는 토큰 사용량에 따라 플랜의 요율을 적용합니다. 요금은 결제 플랜에 따라 크레딧 또는 미국 달러(USD)로 청구됩니다. 지원 대상 계정에는 무료 스캔 크레딧을 먼저 적용하고 나머지 사용량에 대해서만 요금을 청구합니다.
이 사용량은 플랜의 기본 제공량에 포함되지 않습니다.
기준 시각 전에 설정한 지속적 스캔은 2026년 10월 21일까지 무료입니다. 이후에는 유료 사용을 활성화한 경우 계정의 결제 플랜에 따라 일반 토큰 요율을 적용합니다. 유료 사용을 활성화하지 않으면 스캔이 일시 중지됩니다.
무료 스캔 기간이나 무료 스캔 크레딧을 받을 수 있나요?
계정에서 2026년 10월 1일 오후 12시 53분(태평양 시간) 전에 지속적 스캔을 설정했는지에 따라 혜택이 달라집니다.
- 그전에 설정했다면 혜택 대상인 지속적 스캔은 2026년 10월 21일까지 무료입니다. 리포지터리 스캔과 2026년 10월 1일 오후 12시 53분(태평양 시간) 이후에 설정한 지속적 스캔에는 이 무료 기간이 적용되지 않습니다.
- 그전에 설정하지 않았다면 지원 대상 계정은 지속적 스캔 무료 기간 대신 500달러 상당의 무료 스캔 크레딧을 받습니다.
무료 스캔 크레딧은 어떻게 사용되나요?
리포지터리 스캔과 지속적 스캔은 같은 무료 크레딧 잔액을 사용합니다. 워크스페이스에서는 모든 구성원이 이 잔액을 공유합니다. 무료 스캔 크레딧에는 만료일이 없습니다.
무료 크레딧을 모두 사용하면 이후 스캔에는 계정 또는 워크스페이스의 결제 플랜에 따라 요금이 청구됩니다.
지속적 스캔 무료 기간이 끝나면 어떻게 되나요?
무료 기간이 끝난 후에도 스캔을 계속하려면 스캔 계속 실행 옵션을 선택하고 유료 사용을 활성화하세요. 이후에는 계정 또는 워크스페이스의 결제 플랜에 따라 일반 토큰 요율이 적용됩니다.
스캔을 계속하지 않기로 하거나 유료 사용을 활성화하지 않으면 무료 기간이 끝날 때 해당 스캔이 일시 중지됩니다. 나중에 유료 사용을 활성화하려면 스캔 다시 활성화 옵션을 선택하세요. 워크스페이스에서 이 설정을 변경할 권한이 없다면 워크스페이스 소유자에게 요청하세요.
토큰 사용량과 요금은 어디에서 확인하나요?
스캔 목록에서 스캔 하나를 열어 토큰 사용량과 비용을 확인하세요. 토큰 수에 마우스 포인터를 올리면 입력 토큰, 캐시된 입력 토큰, 출력 토큰 수를 확인할 수 있습니다. 캐시된 입력 토큰은 입력 토큰 수에 이미 포함되어 있어 별도로 더하지 않습니다.
사용량에는 무료 스캔 크레딧이나 요금 면제를 적용하기 전의 비용과 무료 스캔 크레딧으로 충당한 금액이 함께 표시됩니다.
“요금 면제 대상입니다. 요금이 청구되지 않습니다.”라고 표시된 스캔은 토큰 사용량과 비용이 표시되더라도 요금이 청구되지 않습니다.
스캔
스캔하려면 프로젝트를 먼저 빌드해야 하나요?
Codex Security는 빌드에 성공하지 않아도 소스 코드를 분석할 수 있습니다. 다만 검증 과정에서 이슈를 재현하려면 종속성이나 정상적으로 작동하는 빌드가 필요할 수 있습니다. Codex 클라우드 환경에서 이러한 요구 사항을 충족하도록 설정하세요.
검증을 실행할 수 없다면 해당 보안 이슈에서 소스 코드만으로 확인된 내용과 실행 또는 배포 시 동작을 확인해야 하는 내용을 구분하세요.
어떤 언어를 지원하나요?
Codex Security는 다양한 언어의 소스 코드를 분석합니다. 결과는 모델이 해당 언어와 프레임워크를 얼마나 잘 이해하고 추론하는지, 리포지터리에서 어떤 컨텍스트를 확보할 수 있는지에 따라 달라집니다. 스캔이 성공해도 언어나 구성 요소마다 분석 범위가 다를 수 있습니다. 실제 검토 범위는 보고서에서 확인하세요.
리포지터리 스캔과 커밋 모니터링은 어떻게 다른가요?
일회성 스캔 기능은 리포지터리를 한 번 검토합니다. 지속적 스캔 기능은 새 커밋을 모니터링하며, 선택한 커밋 이력도 검토할 수 있습니다. 첫 스캔이 끝나면 새 커밋 모니터링의 안내에 따라 지속적 스캔을 활성화하세요.
커밋 모니터링을 일시 중지할 수 있나요?
리포지터리 목록을 열고 해당 리포지터리를 선택한 다음 모니터링 설정 화면을 여세요. 모니터링 상태를 일시 중지로 변경하고 저장 버튼을 선택하세요. 같은 설정에서 모니터링을 다시 활성화할 수 있습니다.
위협 모델을 수정할 수 있나요?
네. 아키텍처, 배포 방식 또는 보안에 관한 가정이 바뀌면 모니터링 중인 리포지터리의 모니터링 설정 화면에서 위협 모델을 업데이트하세요. 위협 모델에 포함할 내용은 위협 모델 가이드에서 확인할 수 있습니다. 변경 사항은 이후 스캔부터 적용됩니다.
보안 이슈와 검증
검증을 통해 무엇을 확인할 수 있나요?
각 보안 이슈에 첨부된 근거를 확인하세요. 소스 코드 분석으로 취약한 코드 경로를 확인할 수 있습니다. 실행 기록을 보면 특정 재현 코드나 테스트에서 이슈가 실제로 나타났는지 확인할 수 있습니다.
기록된 상태와 심각도는 보안 이슈를 분류하고 검토하는 데 도움이 됩니다. 해당 이슈가 시스템에도 영향을 미치는지, 무엇을 수정해야 하는지는 근거와 이슈가 발생하는 데 필요한 조건을 바탕으로 판단하세요.
검증에 실패하면 어떻게 해야 하나요?
어떤 방식으로 검증을 시도했는지 살펴보고 확인 가능한 로그를 검토하세요. 이슈가 재현되지 않았다면 해당 환경에서는 이슈가 발생하지 않는 것일 수도 있지만, 환경이나 테스트가 재현에 적합하지 않았을 수도 있습니다. 보안 이슈를 기각하거나 재현됐다고 결론짓기 전에 검증에서 미흡하다고 명시된 부분을 먼저 보완하세요.
스캔에서 보안 이슈가 보고되지 않으면 어떻게 해야 하나요?
스캔이 완료되었는지, 검토한 리포지터리와 리비전이 의도한 대상과 일치하는지 확인하세요. 기록된 제한 사항이나 완료되지 않은 작업도 살펴보세요. 보안 이슈가 보고되지 않았더라도 스캔에서 놓친 취약점이 있을 수 있습니다.
수정
Codex Security가 패치를 자동으로 적용하나요?
보안 이슈에 따라 다릅니다. 리포지터리의 보안 이슈에서 Codex로 수정 버튼을 선택하면 Codex에 이슈 확인, 수정 사항 구현, 관련 테스트 실행을 요청하는 대화가 시작됩니다. 해당 대화에서 변경 사항을 검토하세요.
제안된 패치가 있다면 변경 전후의 차이를 검토한 다음 초안 pull request 만들기 버튼을 선택하세요. 초안을 만들어도 수정 사항이 병합되지는 않습니다.
패치로 이슈가 해결됐는지 어떻게 확인하나요?
패치의 검증 근거를 살펴보고 원래 이슈가 여전히 재현되는지, 정상적으로 작동해야 하는 기능이 계속 작동하는지 확인하세요. 검증을 완료하지 못했다면 무엇을 아직 확인하지 못했는지 해당 보안 이슈에 기록해 두세요. 패치 제안, 초안 pull request 생성, 상태 변경만으로는 이슈가 해결됐다고 확인할 수 없습니다.