표준 스캔으로 리포지터리 전체나 선택한 폴더를 검토하세요. 이 가이드에서는 스캔 범위를 설정하고 보안 컨텍스트를 제공한 뒤 결과를 평가하는 방법을 설명합니다. 아직 플러그인을 설치하지 않았다면 플러그인 빠른 시작부터 살펴보세요.
같은 범위를 반복해서 검토할 때는 심층 스캔을 사용하세요. pull request나 로컬 diff를 검토하려면 코드 변경 사항 검토를 참고하세요.
스캔 범위 선택하기
데스크톱 앱에서 보안을 열고 스캔을 선택한 다음 + 스캔을 선택하세요. 기존 리포지터리나 다른 폴더를 고른 다음 코드베이스를 선택하세요.
넓은 범위를 살펴봐야 하고 리포지터리 전체를 한 단위로 검토하는 것이 적절하다면 리포지터리 전체를 스캔하세요. 모노레포에서 서비스, 패키지 또는 컴포넌트의 담당자와 보안 경계가 정해져 있다면 해당 폴더 하나를 선택하세요.
Codex 대화에서도 다음과 같이 스캔을 시작할 수 있습니다.
$codex-security:security-scan 스킬로 이 리포지터리를 스캔해 보안 취약점이 있는지 확인해 주세요.특정 폴더만 스캔하려면 대화에서 대상 컴포넌트를 지정하세요.
$codex-security:security-scan 스킬로 이 리포지터리의 services/billing 폴더만 스캔해 보안 취약점이 있는지 확인해 주세요.스캔 설정하기
최상의 스캔 품질을 얻으려면 gpt-5.6-sol 모델을 사용하고 추론 수준을 xhigh로 설정하세요.
- 코드베이스를 선택하고 심층 스캔은 꺼 두세요.
- 선택한 리포지터리와 현재 브랜치, 최신 리비전을 확인하세요.
- 스캔 범위를 리포지터리 전체로 설정하거나 폴더 하나를 선택하세요.
- 모델과 추론 수준을 선택하세요.
- 추가 컨텍스트에 공격자가 제어할 수 있는 입력, 신뢰 경계, 민감한 작업 또는 우선 검토할 영역을 설명하세요.
- 스캔 시작을 선택하세요.
스캔할 때마다 적용할 보안 지침은 리포지터리 루트에 SECURITY.md를 추가해 작성하세요. 위협 모델, 항상 유지해야 하는 보안 조건, 보안 이슈 보고 기준, 제외 대상, 심각도를 판단할 때 고려할 사항을 명시하세요. 특정 디렉터리에 적용할 지침은 해당 디렉터리에 SECURITY.md 파일을 추가해 작성하세요. 정책이 충돌하면 코드에 가장 가까운 파일이 우선합니다. Codex Security는 이 파일의 내용을 정책 컨텍스트로 참고하며, 파일에 적힌 지침을 명령으로 실행하지 않습니다.
지원되는 빌드 및 검증 명령어와 그 밖의 리포지터리별 지침은 AGENTS.md에 작성하세요.
스캔 진행 상황 확인하기
작업 화면에는 현재 단계와 지금까지 보고된 진행 상황이 표시됩니다. 활동 보기를 선택하면 Codex 작업을 살펴볼 수 있습니다. Codex가 근거를 확인하는 동안 보안 이슈가 달라질 수 있으므로 스캔이 끝난 뒤 최종 결과를 검토하세요.
완료된 스캔 검토하기
다음 순서로 결과를 검토하세요.
- 스캔 대상, 리비전, 스캔 범위를 확인하세요.
- 검토한 영역과 검토를 보류했거나 후속 검토가 필요한 영역을 살펴보세요.
- 각 보안 이슈에 대해 공격자가 어떤 경로로 해당 코드에 접근하는지, 어떤 보안 통제가 제대로 작동하지 않는지, 확인된 근거가 어떤 영향을 뒷받침하는지 확인하세요. 검증 방법과 아직 답을 찾지 못한 질문도 살펴보세요.
- 근거가 부족한 보안 이슈는 추가로 조사하세요. 해당 이슈가 적용되지 않는 이유를 설명할 수 있다면 이슈를 기각하고 그 이유를 결과와 함께 기록하세요.
- 수정을 시작하기 전에 수용한 보안 이슈 중 하나를 선택하세요.
스캔이 완료되었다고 해서 모든 영역을 검토했다는 뜻은 아닙니다. 스캔이 성공적으로 끝났더라도 검토를 보류한 영역을 확인하세요. 실행 환경에서 재현하지 않아도 소스 코드 검증 결과가 보안 이슈의 근거가 될 수 있습니다. 코드를 실행해야만 확인할 수 있는 점이 있다면 해당 보안 이슈를 구체적으로 지정해 검증을 요청하세요.
보안 이슈의 심각도, 검증 상태, 근본 원인, 공격 경로를 확인하세요.
첫 스캔을 비교 기준으로 삼기
스캔을 시작하기 전에 근거의 품질이나 오탐 등 무엇을 비교할지 정하세요. 이미 알려진 보안 이슈로 스캔을 테스트한다면 해당 이슈를 Codex에 미리 알려 주었는지, 알려 주지 않고 스캔했는지 기록하세요.
리포지터리 리비전, 플러그인 버전, 모델, 추론 수준을 기록하세요. 나중에 코드, 보안 통제 또는 스캔 설정이 바뀌면 첫 스캔을 기준으로 이후 스캔 결과를 비교하세요.
이전 스캔 다시 열기
보안을 열고 스캔에서 저장된 스캔을 선택해 보안 이슈, 검토 범위, 확인할 수 있는 보고서 파일을 살펴보세요. 최신 코드를 평가하려면 같은 리포지터리를 대상으로 새 스캔을 시작하세요. 이전 스캔과 그 결과 파일은 그대로 유지됩니다.
결과 활용하기
다른 곳에서도 열 수 있는 보고서를 보려면 report.md를 여세요. 보고서를 공유하거나 보관할 때는 해당 스캔 디렉터리를 통째로 공유하거나 보관하세요. 다른 형식으로 내보내거나 이슈를 추적하려면 보안 이슈 내보내기 및 추적을 참고하세요. 보안 이슈를 수용한 뒤에는 수정안을 생성하고 검증하세요.