Uma varredura aprofundada executa várias varreduras padrão independentes no mesmo repositório ou pasta e reúne os achados. Use essa opção quando quiser repetir a revisão e puder dedicar mais tempo e tokens à execução.
Comece com uma varredura padrão para verificar se o escopo e o contexto de segurança atendem ao seu objetivo. Repetir a revisão pode revelar problemas que passaram despercebidos em uma execução anterior, mas não garante a detecção de todos os problemas nem resultados idênticos entre execuções.
Escolha entre a varredura padrão e a aprofundada
| Varredura padrão | Varredura aprofundada | |
|---|---|---|
| Revisão | Uma varredura padrão | Várias varreduras padrão cujos achados são reunidos |
| Quando usar | Na primeira varredura ou para revisar um escopo delimitado | Para fazer outras revisões independentes do mesmo escopo |
| Escopo | Repositório ou pasta | Repositório ou pasta |
| Alterações | Use o fluxo de revisão de alterações | Sem suporte |
Inicie a varredura aprofundada
Para obter a melhor qualidade na varredura, use gpt-5.6-sol com o esforço de raciocínio xhigh.
- Abra Segurança > Varreduras e selecione + Varredura.
- Escolha um repositório ou uma pasta, selecione Base de código e ative Varredura aprofundada. A varredura revisa todo o conteúdo do repositório ou da pasta que você escolheu.
- Escolha o modelo e o esforço de raciocínio. Em Contexto adicional, inclua informações sobre o modelo de ameaças ou a implantação.
- Selecione Iniciar varredura.
Você também pode iniciar a varredura em uma conversa com o Codex:
Use $codex-security:deep-security-scan para executar uma varredura de segurança aprofundada neste repositório.Para revisar um único componente, substitua “neste repositório” pelo caminho da pasta desse componente.
Cada processo de varredura herda as configurações de modelo e raciocínio que você escolheu e executa uma varredura padrão completa. O Codex Security reúne os resultados das varreduras concluídas. Acompanhe a varredura salva em Varreduras ou selecione Ver atividade para examinar a tarefa correspondente no Codex. Se precisar limitar a simultaneidade ou a duração, defina os limites de execução antes de iniciar a varredura.
Acompanhe a etapa em andamento da varredura aprofundada e examine a atividade correspondente no Codex antes de revisar o resultado final.
Revise o resultado
A varredura só está concluída quando a etapa de finalização termina com sucesso e gera o arquivo report.md. Uma mensagem informando que a agregação terminou ou a simples presença de um arquivo scan-manifest.json não basta para confirmar a conclusão.
As varreduras aprofundadas usam os mesmos detalhes salvos e o mesmo diretório completo de varredura que as varreduras padrão. Abra a varredura concluída em Varreduras ou revise os achados em Achados. Quando você solicita relatórios detalhados de vulnerabilidades ou orientações para reforçar a segurança estrutural, o arquivo report.md gerado inclui links para esses materiais. Ao compartilhar ou arquivar o resultado, mantenha junto ao relatório os diretórios findings/ e hardening/ aos quais ele faz referência.
Revise o resumo da cobertura antes dos achados. Mesmo uma varredura aprofundada tem limites. Antes de tirar uma conclusão, verifique quais superfícies ficaram para uma revisão posterior e o que ainda precisa de comprovação. Se você aceitar um achado, prossiga para Corrija e verifique um achado.
Para revisar um pull request, um commit, um intervalo entre branches ou um patch local, siga as instruções em Revise alterações de código. Varreduras aprofundadas não aceitam diffs como alvo.
Configure a execução da varredura aprofundada
Para controlar a simultaneidade e a duração de uma varredura aprofundada, crie ou edite o arquivo ~/.codex/codex-security/config.toml. Se você definiu CODEX_HOME, use o caminho $CODEX_HOME/codex-security/config.toml.
Por exemplo, este perfil executa uma varredura mais curta e limita o número de processos simultâneos:
[deep_scan]
workers = 2
subagents = 0
stop_after_no_new = 3
max_discovery_runs = 10
max_time_hours = 1.5| Configuração | Padrão | Descrição |
|---|---|---|
workers |
4 |
Número de processos independentes que podem executar varreduras padrão ao mesmo tempo. O valor legado "auto" também equivale a 4. |
subagents |
3 |
Número de subagentes que cada processo pode iniciar. Defina o valor como 0 para desativá-los. |
stop_after_no_new |
4 |
Interrompe a execução quando esse número de varreduras consecutivas termina sem produzir novos achados. |
stop_after_consecutive_errors |
3 |
Interrompe a execução após esse número de erros consecutivos nos processos de varredura. |
max_discovery_runs |
40 |
Limita o número de varreduras padrão independentes antes da agregação dos resultados. |
max_time_hours |
96 |
Limita a execução dos processos a um número positivo de horas, até 96. Use valores fracionários se necessário. |
Valores menores podem reduzir o tempo de varredura e o consumo de tokens, mas alguns achados podem passar despercebidos. As alterações de configuração só se aplicam a novas varreduras aprofundadas. As que já estão em andamento continuam com a configuração anterior.
Quando o prazo termina, o Codex Security interrompe os processos ainda em execução, preserva os resultados das varreduras concluídas e os reúne no relatório final. Se nenhum processo concluir a revisão do código-fonte dentro do prazo, o relatório registra a cobertura como parcial.
A configuração max_time_hours exige a versão 0.1.19 ou posterior do plugin. Consulte o histórico de alterações do plugin para ver os detalhes de cada versão.
Lide com uma interrupção ou falha
Verifique o status da varredura salva antes de iniciar outra. No aplicativo para desktop, abra a varredura em Varreduras. Em uma conversa com o Codex, peça que ele verifique a varredura existente.
- Se a espera terminar enquanto a varredura ainda estiver ativa, volte à mesma varredura ou conversa e peça ao Codex que continue a execução. O fim de uma resposta ou o término do tempo de espera não cancela a varredura.
- Se a varredura indicar uma falha definitiva ou tiver sido cancelada, guarde a mensagem de erro e o diretório da varredura salva. Revise os achados salvos separadamente dos possíveis achados que ainda aguardam confirmação. Como a cobertura está incompleta, uma lista vazia de achados não comprova que o código esteja livre de vulnerabilidades.
Ao pedir ajuda, informe a versão do plugin e a versão do Codex CLI ou do aplicativo para desktop que você usou na execução que falhou. Inclua também o provedor, o modelo, o status da varredura e a mensagem de erro exata. As versões consultadas após uma atualização podem ser diferentes das usadas na execução. Consulte Verifique as versões e atualizações.