Codex Security 플러그인 변경 이력

최신 릴리스 노트: 0.1.32.

새 릴리스에 추가된 기능을 사용하기 전에 현재 Codex 환경의 플러그인 버전을 확인하세요.

변경 이력은 플러그인 버전을 기준으로 정리합니다. CLI와 SDK 사용자는 npx @openai/codex-security info --json을 실행해 패키지 버전과 패키지에 포함된 플러그인 버전을 함께 확인할 수 있습니다.

CLI와 SDK의 변경 사항은 Codex Security 패키지 릴리스를 참고하세요.

0.1.32

심층 스캔 완료 과정의 안정성 개선

• 플러그인이 집계 결과와 함께 스캔 식별 정보와 완료 지침을 보관하므로 Codex가 스캔을 마무리하고 report.md를 생성할 수 있습니다.
• 워커 결과가 많을 때는 작은 페이지 단위로 나누어 읽어 집계 중에 응답 크기 오류가 발생하지 않도록 합니다.
• 파싱 오류 등 복구 가능한 워커 오류가 발생하면 스캔을 중지하기 전에 재시도합니다.

설정 방법, 결과 확인 및 복구 절차는 심층 보안 스캔 실행을 참고하세요.

0.1.30 (2026년 9월 24일)

• 이 릴리스에서는 플러그인 버전을 업데이트했습니다. 동작은 0.1.25와 동일합니다.

0.1.25 (2026년 9월 23일)

스캔 결과와 함께 아티팩트 보관

• 보관할 스캔 증거와 보충 문서는 해당 스캔과 함께 저장하고, 보관할 필요가 없는 빌드 및 테스트 출력은 임시 저장소에 둡니다.
• 스캔 실행 중에 플러그인을 통해 아티팩트를 저장하면 최종 결과 및 복구 체크포인트와 함께 사용할 수 있습니다.

스캔 진행 상황 및 결과 확인

• 표준 스캔에서 위협 모델링, 탐색, 검증, 공격 경로 분석, 보고 단계가 시작될 때마다 진행 상황이 갱신됩니다.

중단을 줄이고 더 많은 파일 검토

• 변경 사항 스캔에 변경된 GitHub Actions 워크플로우 파일을 포함합니다. 리포지터리를 검토할 때는 .cjs, .cts, .mts, .tf 파일도 인식합니다.
• Daybreak 접근 권한을 확인할 수 없거나 확인 결과가 불분명하면 접근 경고 없이 스캔을 계속합니다. 새로 확인한 결과 접근 권한이 없으면 이전과 같이 등록 안내 경고를 표시합니다.
• 선택한 제공자가 OpenAI 인증을 요구하는 경우 Codex 계정이 없는 심층 스캔 워커는 OPENAI_API_KEY를 사용합니다.

0.1.24 (2026년 9월 9일)

플러그인에서 Daybreak 접근 권한 확인

• ChatGPT로 로그인한 데스크톱 및 CLI 세션에서는 별도의 Codex Security Access 앱을 연결하지 않고도 스캔 전에 Daybreak 접근 권한을 확인합니다.
• 접근 권한이 없으면 등록 링크를 표시하고, 권한을 확인할 수 없으면 경고를 표시합니다. API 키만 사용하는 세션에서는 계정의 접근 권한을 확인할 수 없습니다.
• 접근 권한이 없거나 확인에 실패해도 안내를 표시한 뒤 스캔을 계속합니다. 이 안내는 접근 권한을 부여하거나 스캔 실행 여부를 결정하지 않습니다.

요청 시 보안 수정 사항 검증

• 사용자가 보안 수정 사항의 검증을 명시적으로 요청한 경우에만 $codex-security:verify-fix를 실행합니다.
• 일반적인 수정 구현, 코드 리뷰, 테스트 요청은 기존 워크플로우에서 처리하며 검증 결과 형식으로 자동 전환하지 않습니다.

0.1.23 (2026년 9월 8일)

제안된 패치의 위험 평가

• $codex-security:assess-patch-risk를 사용해 정확한 리비전과 소스 코드의 증거를 기준으로 제안된 변경 사항을 검토합니다.
• 영향, 발생 가능성, 복구 난이도를 회귀 방지 대책과 별도로 평가하고, 증거가 부족해 권고에 영향을 주는 부분을 파악합니다.
• 병합, 수정, 현 상태 유지 중 하나를 권고합니다. 평가 과정에서 코드를 병합하지 않으며 리포지터리 승인 규칙도 그대로 적용됩니다.

실패한 스캔에서 보관된 결과 복구

• 실패한 스캔을 선택하고 복구를 요청하면 스캔을 다시 실행하지 않고도 저장된 유효한 보안 이슈를 복구합니다.
• 저장된 스캔과 보안 이슈를 살펴볼 수 있으며, 실패한 스캔을 모두 자동으로 복구하지는 않습니다. 복구 후에도 스캔 상태는 실패로 유지됩니다. 실행 중이거나 완료 또는 취소된 스캔은 복구할 수 없습니다.
• 여러 워커가 같은 후보 식별자를 사용해도 서로 다른 보안 이슈를 구분하고, 복구 시 유효한 증거와 근본 원인에 관한 세부 정보를 보존합니다.

스캔 설정 및 보고서 개선

• 표준 스캔과 변경 사항 스캔에서 준비 상태 점검 항목별로 진행을 막는 문제나 경고의 세부 내용을 확인할 수 있습니다.
• 설정 문제를 어떻게 해결할지 결정하는 동안에도 스캔은 이어서 실행할 수 있는 상태로 유지됩니다. 대화형 세션에서 설정을 영구적으로 변경하려면 여전히 사용자 승인이 필요합니다.
• 심층 스캔 보고서에서 포함하거나 제외하도록 설정한 경로를 확인할 수 있습니다.
• 컨텍스트 변경 사항은 선택한 스캔에만 적용되며 저장된 워크스페이스 기본값은 유지됩니다.

시작 및 GitHub 보안 이슈 분류 개선

• 플러그인의 도구 서버가 시작될 때까지 최대 2분간 기다리며, 심층 스캔 워커에 OpenAI API 키 인증 정보를 전달합니다.
• 분류할 보안 이슈를 가져올 때 명시적으로 선택한 GitHub 커넥터를 사용하며, 다른 연결이나 계정으로 전환하기 전에 사용자에게 확인합니다.

0.1.22 (2026년 8월 25일)

기존 보안 수정 사항 검증

• $codex-security:verify-fix를 사용하면 리포지터리 파일이나 이슈 트래커를 변경하지 않고도 기존 패치가 보고된 보안 이슈를 해결하는지 확인할 수 있습니다.
• 각 보안 이슈에 대해 fixed, still_vulnerable, inconclusive 중 하나의 결과를 근거 및 검증의 한계와 함께 제공합니다.
• 보안 이슈 해결 워크플로우에 패치 전 조사와 패치 후 검토를 추가합니다.

스캔 중지 시 보안 이슈 보존

• 심층 스캔 워커가 작업을 진행하는 동안 보안 이슈와 검토 대기 중인 후보를 저장합니다.
• 이후 결과를 통합하는 과정에서 이슈가 누락되거나 통합에 실패해도 워커가 보고해 채택된 보안 이슈는 결과에 남깁니다.
• 실패, 취소 또는 중단된 스캔에서도 유효한 결과를 보존하고, 스캔이 성공하지 못했다는 상태와 검토 범위가 불완전하다는 정보도 유지합니다.
• 입력한 스캔 프롬프트를 심층 스캔 워커에 전달하고, 상위 세션의 파일시스템 접근 거부 규칙 중 지원되는 규칙을 유지합니다.

Windows 및 파일시스템 호환성 개선

• 스캔 기록에서 동일한 위치를 가리키는 Windows 경로를 같은 경로로 처리하고, 지정된 위치에서 Windows 시스템 구성을 불러옵니다.
• Windows에서 여러 의미로 해석될 수 있는 스캔 아티팩트 경로를 차단합니다.
• 하드 링크를 지원하지 않는 파일시스템에도 스캔 결과를 저장합니다.
• Python 3.10에서 UTC 기준 스캔 타임스탬프를 일관되게 읽습니다.

0.1.21 (2026년 8월 21일)

플러그인 설치 및 시작 안정성 개선

• 선택 사항인 Codex Security Access 앱 없이 플러그인을 설치할 수 있습니다. 호스팅 환경에서 수행하는 접근 권한 확인은 계속 안내 목적으로만 사용됩니다.
• 플러그인을 시작할 때 Codex에 포함된 Node.js 런타임을 사용합니다. 패키지에 포함된 실행 파일을 직접 실행할 수 없는 Windows 환경에서도 이 런타임을 사용합니다.
• Windows에서 Git 메타데이터를 UTF-8로 읽습니다.

보안 이슈 세부 정보 보존 및 SARIF 내보내기 개선

• 저장된 보안 이슈, 보고서, 보안 워크벤치에서 검증 내용, 공격 경로 증거, 근본 원인에 관한 세부 정보를 일관되게 유지합니다.
• GitHub 코드 스캔용으로 알아보기 쉬운 규칙 이름, 해결 지침, CWE 태그, 보안 심각도를 내보내면서 보안 이슈의 식별 정보, 지문, 소스 위치를 보존합니다.

0.1.20 (2026년 8월 17일)

심층 스캔 워커별로 전체 감사 독립 실행

• 각 심층 스캔 워커는 표준 스캔과 동일한 전체 감사 절차를 수행합니다. 이 절차에는 위협 모델링, 검증, 공격 경로 분석, 검토 범위 보고가 포함됩니다.
• 완료된 워커 보고서를 하나의 스캔으로 통합하면서 설정한 시간 제한, 부분 검토 범위, 재시작 후 복구 및 취소 기능을 유지합니다.
• 기본적으로 워커 4개를 동시에 실행합니다. 완료된 스캔에서 4회 연속으로 새 보안 이슈가 나오지 않으면 중지하며, 심층 스캔 한 번당 워커 실행 횟수는 최대 40회입니다. 기존 workers = "auto" 설정을 사용하면 이제 워커 4개가 실행됩니다. 심층 스캔 런타임 설정을 참고하세요.
• 소스 검토를 마쳤지만 최종 초안이 유실된 워커는 전체 감사를 반복하지 않고 이어서 작업합니다.

호스팅 환경에서 스캔 전 Trusted Access for Cyber 확인

• Codex Security Access 앱을 제공하는 Codex 호스트에서는 표준 스캔, 변경 사항 스캔, 심층 스캔을 시작하기 전에 Trusted Access 상태를 확인합니다.
• 보호된 스캔 출력을 사용하지 못할 가능성이 있으면 눈에 띄는 경고를 표시합니다. 접근 권한이 없으면 등록 링크도 함께 제공합니다.
• Trusted Access 상태를 확인할 수 없거나 접근 권한이 없어도 스캔을 계속합니다. 이 안내는 스캔 실행 여부를 결정하지 않습니다.
• 공개 CLI 및 SDK 패키지의 0.1.20 버전에서는 이 안내 절차를 실행하지 않습니다.

더 다양한 환경에서 심층 스캔 실행

• CLI와 SDK 패키지 설치 환경에서 심층 스캔 워커를 시작할 수 있습니다. codex 실행 파일이 전역으로 설치되지 않은 Windows 환경도 지원합니다.
• 독립 실행형 CLI와 SDK의 심층 스캔 설정을 실행 중인 다른 스캔과 분리합니다.
• 중첩된 심층 스캔 워커에서도 비대화형 승인 설정을 유지합니다.

다양한 장애 상황에서 스캔 결과 보존

• 재시작, 아카이브 복원, 작업 인계 과정에서 복구할 때 이전보다 많은 스캔 기록과 완료된 워커 결과를 보존합니다.
• 오래되거나 불완전한 스캔 데이터에서 유효한 보안 이슈를 복구합니다.
• 개별 워커가 보고한 검토 범위가 겹쳐도 스캔을 완료합니다.
• 제공자의 최신 응답과 이전 형식의 응답 모두에서 캐시된 입력을 전체 토큰 사용량에 정확히 반영합니다.

0.1.19 (2026년 8월 13일)

심층 스캔 시간 제한 설정

• [deep_scan].max_time_hours를 0보다 크고 96 이하인 값으로 설정할 수 있습니다. 단위는 시간이며 소수 값도 사용할 수 있습니다.
• 제한 시간에 도달하면 완료된 탐색 결과를 보존한 뒤 검증과 보고를 계속합니다.
• 제한 시간 내에 완료된 소스 검토가 하나도 없으면 보고서를 부분 결과로 표시합니다.

스캔 안정성 개선

• 워커가 중지되거나 결과 집계기가 재시도해도 완료된 탐색 작업을 보존합니다.
• 기존의 고정 크기 제한 없이 더 큰 소스 파일을 읽고 보고서를 생성합니다.
• 선택한 리비전에서 커밋된 변경 사항을 읽고, Windows에서도 리포지터리 기준 상대 경로를 유지합니다.
• 심층 스캔 워커에 OpenRouter 및 Fireworks 자격 증명을 전달합니다.

0.1.18 (2026년 8월 7일)

Amazon Bedrock으로 보안 스캔 실행

• Amazon Bedrock 베어러 토큰과 AWS 프로필, 리전 설정, 웹 자격 증명 또는 컨테이너 자격 증명을 사용해 스캔을 실행할 수 있습니다.
• 작업을 위임받은 심층 스캔 워커도 AWS 인증을 사용할 수 있습니다.

표준 스캔의 작업 조율 간소화

• 리포지터리 전체나 지정한 경로에서 표준 스캔을 실행할 때 더 간단한 워크플로우를 사용합니다.
• 하위 디렉터리의 SECURITY.md 지침, 정확한 스캔 범위, 진행 상황 업데이트 및 최종 스캔 보고서를 유지합니다.

스캔 시작 및 완료 과정의 안정성 개선

• 프롬프트로 시작한 스캔이 대규모 리포지터리를 초기화할 때 적용되는 제한 시간을 30초에서 최대 5분으로 늘렸습니다.
• 호스트가 도구 이름의 길이를 제한해도 표준 스캔과 심층 스캔을 완료합니다.

파일시스템 변경 후에도 보안 이슈 해결 지원

• 파일시스템을 다시 마운트하면서 장치 식별자가 변경되어도 완료된 스캔의 보안 이슈를 해결할 수 있습니다.
• 수정 사항을 적용하려면 이전과 마찬가지로 원래 체크아웃과 Git 리비전이 필요합니다.

0.1.17 (2026년 8월 5일)

스캔 진행 상황 실시간 확인

• 하나의 실시간 진행 화면에서 현재 스캔 단계, 경과 시간, 활성 워커, 검토한 파일 및 토큰 사용량을 확인할 수 있습니다.
• 전체 스캔이 끝날 때까지 기다릴 필요 없이 파일 검토가 끝날 때마다 리포지터리 검토 진행 상황이 갱신됩니다.

중단된 심층 스캔 재개

• 실행 중인 심층 스캔의 코디네이터가 재시작되어도 이미 완료한 파일 검토를 반복하지 않고 스캔을 계속합니다.
• 앱이 업데이트되거나 스캔 세션이 중단되어도 완료된 탐색 결과, 스캔 소유권 및 대기 중인 작업을 보존합니다.

스캔 시작 및 완료에 필요한 작업 감소

• 사용이 종료된 내장 스캔 위젯을 열지 않고 기본 워크플로우에서 표준 스캔, 변경 사항 스캔, 심층 스캔을 바로 시작합니다.
• 구조화된 결과 전체를 요청하지 않는 한, 모든 보안 이슈를 다시 불러오지 않고 완료된 스캔 요약을 재사용합니다.

0.1.16 (2026년 8월 4일)

측정된 스캔 사용량 확인

• 주 스캔과 작업을 위임받은 워커의 전체 토큰 사용량 및 입력, 캐시된 입력, 출력 토큰 사용량을 확인할 수 있습니다.
• 사용량 데이터가 없을 때 0으로 표시하지 않고 전체 측정, 부분 측정, 측정 불가를 구분합니다.

일관된 절차로 심층 스캔 실행

• 표준 스캔과 심층 스캔에 동일한 위협 모델링, 탐색, 검증, 공격 경로 분석, 보고 단계를 적용합니다.
• CLI나 SDK에서 심층 스캔 워커, 워커별 작업 위임, 포화 기준 및 탐색 한도를 설정할 수 있습니다.
• 모델이 지원하는 워커 런타임으로 심층 스캔을 실행하고, 기존 스캔 기록을 잃지 않고 이전 스캔 상태를 복구합니다.
• 별도의 취약점 상세 보고서나 보안 강화 권고안 없이도 변경 사항 스캔과 심층 스캔의 기본 보고서를 생성합니다.

스캔 지침과 대상 리포지터리의 정확성 유지

• 실행 중인 스캔에서 보안 지침을 업데이트하면 이후 단계와 작업을 위임받은 심층 스캔 워커에도 반영됩니다.
• 요청하지 않은 네트워크 접근을 허용하지 않으면서 리포지터리 URL, pull request 참조 및 더 긴 보안 컨텍스트를 보존합니다.
• 실행 중에 리포지터리나 스캔 대상이 변경되면 스캔을 실패로 처리해 자동화 작업이 더 이상 유효하지 않은 보안 이슈를 받아들이지 않도록 합니다.
• 관리형 네트워크 환경에서 엔터프라이즈 프록시 및 신뢰할 수 있는 인증서 설정을 따릅니다.

취약점 보고서의 명확성 개선

• 소스 코드에 근거한 취약점 보고서를 작성하고, 관찰된 동작과 검증되지 않은 가설을 구분합니다.
• 개념 증명으로 실제 확인할 수 있는 범위와 한계, 영향을 받는 버전, 보안 경계 및 실행 가능한 해결 지침을 포함합니다.

0.1.15 (2026년 7월 30일)

리포지터리 변경 시 스캔 결과 보존

• 스캔 중에 파일이나 리포지터리 리비전이 변경되어도 완료된 보안 이슈와 보고서는 원래 리비전 또는 작업 트리 스냅샷에 연결된 상태로 유지합니다.
• 선택한 코드가 변경되거나 대상에 접근할 수 없게 되면 스캔 결과를 보존하고 완료 시 경고를 표시합니다.
• 기존 스캔의 출력 디렉터리를 다른 스캔에 재사용하기 전에 기존 스캔을 아카이브합니다.

검토를 마친 보안 이슈 피드백 반영

• 보안 이슈를 오탐으로 종결할 때 사유를 기록합니다.
• 검토를 마친 오탐 판정은 같은 대상을 다시 스캔할 때 반영하며, 다른 체크아웃이나 관련 없는 대상에는 적용하지 않습니다.
• 이전 판정 사유가 현재 코드와 보안 통제에도 여전히 적용되는 경우에만 반복해서 발견된 보안 이슈를 표시하지 않습니다.

실제 검토 범위를 반영하면서 유효한 보안 이슈 복구

• 다른 보안 이슈, 보고서 또는 보안 강화 아티팩트의 형식이 잘못되어도 유효한 보안 이슈는 보존하고, 건너뛴 데이터에는 경고를 표시합니다.
• 중복된 보안 이슈를 제거하고 심각도, 신뢰도 및 뒷받침하는 증거를 종합해 가장 중요하고 근거가 확실한 이슈를 남깁니다.
• Codex가 보안 이슈, 검토 수행 기록 또는 후속 검토 영역을 확인할 수 없으면 검토 범위를 부분 검토로 표시합니다.
• SARIF 내보내기에 불완전한 검토 범위와 검토 보류에 관한 경고를 포함합니다.

스캔 설정 및 진행 상황 표시

• 표준 스캔 및 심층 스캔과 함께 선택한 모델과 추론 수준을 저장해 다시 불러온 뒤에도 스캔 기록과 진행 상황이 일관되게 유지됩니다.
• 진행 중이거나 완료된 독립 심층 스캔 검토 건수와 결과 통합이 시작되는 시점을 표시합니다.
• 표준 스캔의 탐색 작업을 가용 워커 용량에 맞게 조정하면서 검토 대상 파일 목록은 하나로 유지하고 후보 검토는 한 번만 수행합니다.

더 다양한 리포지터리 및 파일시스템 구조 지원

• 작업 트리 스냅샷을 생성할 때 중첩된 Git 리포지터리를 포함합니다.
• 검토 범위에 포함된 파일 경로를 입력된 그대로 보존하고 대소문자를 구분하지 않는 Windows 경로를 처리합니다.
• 설정한 CODEX_HOME 경로가 ~로 시작하면 스캔 사전 점검에서 이를 전체 경로로 확장합니다.

0.1.14 (2026년 7월 28일)

스캔 기록 및 반복되는 보안 이슈 검토

• 리포지터리, 보안 이슈 및 스캔 기록을 필터링할 수 있습니다. 결과는 일정한 개수씩 페이지로 나누어 표시하며 상태 정보를 더 명확하게 제공합니다.
• 저장된 설정으로 스캔을 다시 실행하고, 완료된 스캔을 비교해 새로 발견된 보안 이슈, 지속되는 이슈, 해결된 이슈, 다시 스캔하지 않은 이슈를 구분합니다.
• 같은 리포지터리의 작업 트리를 그룹화하고 여러 화면에서 리포지터리와 보안 이슈의 식별 정보를 일관되게 유지합니다.

리포지터리 보안 정책 정의

• $codex-security:define-security-policy를 사용해 적용 범위별 SECURITY.md 지침을 검토하거나 업데이트할 수 있습니다. 지침에는 신뢰 경계, 보안 불변 조건, 보고 대상 보안 이슈, 심각도, 제외 사항 및 수용한 위험이 포함됩니다.
• 가장 가까운 정책 파일을 적용하되 파일 크기를 제한하고 리포지터리 외부를 가리키는 심볼릭 링크는 거부합니다.

추적하기 전에 보안 이슈 검토

• 완료된 스캔에서 Linear 또는 GitHub 이슈로 추적할 보안 이슈를 최대 25개 선택할 수 있습니다.
• 보안 이슈 워크스페이스에서 바로 이슈를 생성하지 않고, 선택한 보안 이슈를 Codex로 다시 보내 검토와 승인을 거칩니다.

간소화된 워크플로우로 표준 스캔 실행

• 리포지터리 전체나 지정한 경로에서 표준 스캔을 실행할 때 일관된 기준으로 생성한 단일 대상 파일 목록과 간결한 후보 기록을 사용합니다.
• 반복되는 스캔 단계를 줄이면서 기존 매니페스트, 보안 이슈, 검토 범위, 보고서 및 SARIF 출력을 유지합니다.

0.1.13 (2026년 7월 25일)

더 다양한 환경에서 보안 이슈 검토

• 영향을 받는 코드가 로컬 또는 내부용이거나, 학습에 사용되거나, 프로덕션에 배포되지 않은 경우에도 실제 보안 이슈는 결과에 남깁니다.
• 보안 이슈를 자동으로 제외하지 않고 배포 환경과 노출 상황을 고려해 심각도와 신뢰도를 조정합니다.

0.1.12 (2026년 7월 23일)

진행 상황을 확인하며 심층 스캔 실행

• 여러 워커의 작업을 조율해 리포지터리 전체 또는 선택한 디렉터리에서 심층 스캔을 실행합니다.
• 위임한 스캔 작업에도 사용자가 선택한 모델과 추론 설정을 적용합니다.
• 스캔 전과 실행 중에 사전 점검 결과, 스캔 진행 상황, 가용 워커 용량 및 대체 동작을 확인할 수 있습니다.

이전 스캔 검토 및 재실행

• 보안 스캔 목록에서 현재 스캔과 이전 스캔을 열 수 있습니다.
• 보안 이슈 워크스페이스에서 저장된 스캔을 다시 열거나 스캔을 재실행해 결과를 갱신할 수 있습니다.
• 스캔 완료 상태를 더 명확하게 표시하고 보안 이슈의 세부 정보와 스캔 기록을 일관되게 제공합니다.

현재 작업을 유지하면서 스캔 설정

• 현재 작업을 벗어나지 않고 기본 설정 플로우에서 스캔을 시작할 수 있습니다.
• Codex가 전체 화면 모드일 때도 스캔 설정을 측면 패널에 표시합니다.
• 설정이 필요하지 않으면 설정 화면을 닫고 이후 스캔에도 이 선택을 유지할 수 있습니다.

검증된 보안 이슈 검토 및 해결

• 심각도가 낮아도 검증된 보안 이슈는 완료된 스캔 결과에 포함합니다.
• 스캔, 보고서 및 내보낸 결과에서 일관된 보안 이슈 세부 정보를 확인할 수 있습니다.
• 보안 이슈 해결을 재시도할 수 있으며 후속 수정에도 관련 스캔 컨텍스트를 전달합니다.

기존 보안 워크플로우용 결과 내보내기

• 완료된 스캔의 보안 이슈를 JSON, CSV 또는 SARIF 형식으로 내보낼 수 있습니다.
• 코드 스캔 및 보안 도구 연동에 사용할 SARIF 결과를 로컬에서 생성합니다.
• 어떤 형식으로 내보내도 보안 이슈 세부 정보를 일관되게 유지합니다.

0.1.11 (2026년 7월 10일)

보안 이슈 상세 보고서 및 보안 강화 보고서 작성

• 스캔에서 발견한 보고 대상 보안 이슈마다 소스 코드에 근거한 취약점 보고서를 하나씩 생성하고, 근거가 되는 개념 증명 파일이 있으면 함께 제공합니다.
• 전체 보안 이슈를 종합해 구조적 보안 강화 방안을 검토할 수 있습니다. 여기에는 기술적 선택에 따른 장단점, 마이그레이션 방안 분석 및 이를 뒷받침하는 다이어그램이 포함됩니다.
• report.md에서 findings/ 및 hardening/ 아래에 생성된 산출물을 찾아볼 수 있습니다. 결과를 공유하거나 아카이브할 때는 스캔 디렉터리 전체를 함께 보관하세요.

보고서 작성 워크플로우 직접 실행

• $codex-security:vulnerability-writeup을 사용하면 Codex Security 스캔을 먼저 실행하지 않고도 공개용 문서, 초안 상태의 보안 이슈, 개념 증명 및 소스 코드를 바탕으로 완성도 높은 보고서를 작성할 수 있습니다.
• $codex-security:propose-security-hardening을 사용해 스캔, 보안 이슈, 사고 또는 평가 문서, 소스 코드를 근거로 구조 또는 아키텍처 차원의 보안 강화 방안을 마련할 수 있습니다.

리포지터리 지침 및 검토 범위의 일관된 적용

• 루트 또는 하위 디렉터리의 SECURITY.md 파일에 위협 모델 컨텍스트, 보안 불변 조건, 보고 대상 보안 이슈의 기준, 제외 사항 및 심각도 판단에 필요한 정보를 정의합니다. 적용 가능한 파일 중 대상에 가장 가까운 파일이 우선합니다.
• 검증 전에 리포지터리 검토 범위를 넓히면서 명시적으로 검토를 보류한 영역과 입증이 부족한 부분에 관한 기록을 유지합니다.
• 변경 사항 스캔에서 삭제된 소스 파일을 검토하고, 검증에 앞서 적용되는 기본 리포지터리 검토 범위를 확대합니다.
• 심층 스캔을 시작하기 전에 단계별 스킬, 작업을 위임받을 워커 및 워커 용량을 점검합니다.

0.1.10 (2026년 6월 23일)

Jira 및 Linear 티켓 가져오기 개선

• Linear 하위 이슈를 가져오기 전에 사용자에게 확인하고, 결과에 상위 이슈와 하위 이슈의 관계를 보존합니다.
• 연결 누락, 권한 부족, 티켓 접근 불가, 일시적인 커넥터 장애를 구분합니다.
• 요청한 티켓 내용을 가져올 수 없으면 판정 결과를 생성하지 않고 중지합니다.
• 확인 완료 대기열과 검토 필요 대기열 각각에서 1부터 시작하는 양의 정수로 순위를 매깁니다. 같은 대기열 안에서는 순위가 중복되지 않습니다.

코드 변경 사항 검토의 안정성 개선

• 검토 중인 커밋을 실제 부모 커밋과 비교하고 보안 이슈 워크스페이스에 비교 대상을 보존합니다.
• 요청한 패치 상태를 확인할 수 없으면 다른 변경 사항을 검토하지 않고 해당 상태를 보고합니다.
• 더 일관된 분류 결과와 보안 이슈 컨텍스트를 확인할 수 있습니다.

0.1.9 (2026년 6월 18일)

보안 이슈 워크스페이스에서 스캔 검토

• 보안 이슈, 검토 범위, 심각도, 신뢰도 및 스캔 아티팩트를 한데 모은 전용 워크스페이스에서 완료된 스캔을 검토할 수 있습니다.
• 보안 이슈를 필터링하거나 신뢰도가 높은 순서 등으로 정렬할 수 있습니다. 새로 고쳐도 워크스페이스 상태는 유지됩니다.
• 보안 이슈를 열어 소스 코드의 증거, 검증 세부 정보, 도달 가능성, 영향 및 해결 지침을 한곳에서 검토할 수 있습니다.

스캔 실행 설정 간소화

• Git 리포지터리, 개별 폴더 또는 Git 기록이 없는 코드베이스에서 표준 스캔을 실행할 수 있습니다. 심층 스캔도 특정 폴더를 대상으로 실행할 수 있습니다.
• 실행 중인 스캔을 취소하거나 설정을 다시 요청받지 않고 중단된 스캔을 재개할 수 있습니다. 여러 심층 스캔을 동시에 시작하기 전에는 경고를 표시합니다.
• 설정 상태와 진행 상황을 더 명확하게 표시하고, 간결한 진행 요약을 제공합니다. 오류는 사용자가 조치할 때까지 계속 표시합니다.

다른 환경에서도 검증할 수 있는 결과 내보내기

• 완료된 스캔은 일관된 형식을 사용합니다. 매니페스트, 구조화된 보안 이슈, 검토 범위 데이터 및 Markdown 보고서를 모두 동일한 기준 결과에서 생성합니다.
• 분석, 아카이브 및 다른 보안 도구와의 연동을 위해 보안 이슈를 JSON, CSV 또는 SARIF 형식으로 내보낼 수 있습니다.
• Windows 경로나 스캔 잠금이 파일시스템 접근에 영향을 주는 경우에도 스캔을 더 안정적으로 완료합니다.

기존 보안 이슈 분류 및 추적

• 스캐너, 보안 권고문, 버그 바운티 보고서, GitHub, Jira, Linear 또는 Codex Security 결과에서 가져온 기존 보안 이슈를 현재 코드베이스를 기준으로 분류합니다. 분류 워크플로우는 증거에 근거한 판정과 우선순위별 조치 대기열을 반환합니다.
• 검증된 보안 이슈 중 선택한 항목을 Linear, Jira 또는 GitHub 이슈로 추적할 수 있습니다. 리포지터리가 보안 권고문 요건을 충족하면 비공개 GitHub Security Advisory 초안을 작성할 수도 있습니다.
• 쓰기 작업을 승인하기 전에 중복 확인 결과, 소스 컨텍스트, 대상의 공개 범위 및 실제로 작성할 내용을 검토할 수 있습니다. 생성하거나 업데이트한 뒤에는 Codex가 결과를 다시 읽어 확인합니다.

0.1.7 (2026년 6월 4일)

증거에 기반한 보안 검토 실행

• 리포지터리 또는 선택한 폴더를 스캔해 보안 취약점을 찾습니다.
• 더 철저한 검토가 필요하면 리포지터리 전체에서 탐색을 반복합니다.
• pull requests, 커밋, 브랜치 간 차이 및 로컬 패치를 검토해 보안 회귀를 확인합니다.
• 각 후보에 대해 위협 모델링, 보안 이슈 탐색, 검증 및 영향 분석을 거친 뒤 스캔 보고서를 생성합니다.
• 채택된 보안 이슈 한 건에 패치를 적용하고, 회귀 테스트를 추가한 뒤 원래 문제가 해결되었는지 검증합니다.