Use uma varredura padrão para analisar um repositório ou uma pasta específica. Este guia explica como definir o escopo, fornecer contexto de segurança e avaliar o resultado. Se você ainda não instalou o plugin, comece pelo guia de início rápido do plugin.
Para analisar o mesmo escopo repetidas vezes, use uma varredura aprofundada. Para um pull request ou um diff local, revise as alterações no código.
Escolha a área da varredura
No aplicativo para desktop, abra Segurança, selecione Varreduras e depois + Varredura. Escolha um repositório existente ou outra pasta e selecione Base de código.
Faça a varredura do repositório inteiro quando precisar de ampla cobertura e fizer sentido analisá-lo como um todo. Em um monorepo, escolha uma única pasta quando o serviço, pacote ou componente tiver um responsável e um limite de segurança definido.
Você também pode iniciar uma varredura em uma conversa com o Codex usando o seguinte prompt.
Use $codex-security:security-scan para procurar vulnerabilidades de segurança neste repositório.Para restringir a varredura a uma pasta específica nessa conversa, indique o componente no prompt.
Use $codex-security:security-scan para procurar vulnerabilidades de segurança apenas na pasta services/billing deste repositório.Configure a varredura
Para obter a melhor qualidade na varredura, use gpt-5.6-sol com o esforço de raciocínio definido como xhigh.
- Selecione Base de código e deixe Varredura aprofundada desativada.
- Confirme o repositório selecionado, a branch atual e a revisão mais recente.
- Em Área da varredura, selecione o repositório inteiro ou escolha uma única pasta.
- Escolha o modelo e o nível de esforço de raciocínio.
- Use Contexto adicional para descrever entradas que um invasor pode controlar, limites de confiança, ações sensíveis ou uma área que deve ter prioridade.
- Selecione Iniciar varredura.
Adicione SECURITY.md à raiz do repositório para manter as orientações de segurança disponíveis em varreduras futuras. Descreva o modelo de ameaças, as invariantes de segurança, os critérios para decidir quais achados relatar, as exclusões e o contexto para avaliar a gravidade. Adicione arquivos SECURITY.md aos subdiretórios que precisarem de orientações específicas. Em caso de conflito entre políticas, prevalece o arquivo mais próximo do código. O Codex Security usa esses arquivos como contexto sobre as políticas e não executa as instruções contidas neles.
Use AGENTS.md para registrar os comandos de build e validação compatíveis e outras instruções específicas do repositório.
Acompanhe o progresso da varredura
O painel mostra a fase atual e o progresso informado. Selecione Ver atividade para examinar a tarefa do Codex. Analise o resultado final quando a varredura terminar, pois os achados podem mudar enquanto o Codex verifica as evidências.
Revise a varredura concluída
Revise o resultado na seguinte ordem.
- Confirme o alvo, a revisão e a área da varredura.
- Confira quais superfícies foram analisadas, quais áreas ficaram para depois e quais precisam de acompanhamento.
- Para cada achado, verifique como um invasor consegue alcançar o código afetado, qual controle falha e que impacto as evidências sustentam. Leia a descrição do método de validação e confira as questões em aberto.
- Investigue os achados para os quais faltam evidências. Descarte um achado quando puder explicar por que ele não se aplica e registre a explicação junto ao resultado.
- Selecione um achado aceito antes de iniciar a correção.
Concluir a varredura não garante cobertura completa. Confira as áreas cuja análise ficou para depois, mesmo que a varredura termine com sucesso. A validação com base no código-fonte pode sustentar um achado mesmo sem reproduzir o problema em tempo de execução. Se uma dúvida só puder ser resolvida com a execução do código, peça a validação daquele achado específico.
Confira a gravidade do achado, o status da validação, a causa raiz e o caminho de ataque.
Use a primeira varredura como referência
Antes de iniciar a varredura, decida o que você quer comparar, como a qualidade das evidências ou os falsos positivos. Se usar um achado conhecido para testar a varredura, registre se você informou o achado ao Codex ou se omitiu essa informação durante o teste.
Registre a revisão do repositório, a versão do plugin, o modelo e o nível de esforço de raciocínio. Use essa referência para comparar varreduras futuras após mudanças no código, nos controles de segurança ou nas configurações da varredura.
Reabra uma varredura anterior
Abra Segurança e selecione uma varredura salva em Varreduras para conferir os achados, a cobertura e os artefatos de relatório disponíveis. Para avaliar a versão mais recente do código, inicie uma nova varredura no mesmo repositório. A nova varredura não substitui a anterior nem seus artefatos.
Use os resultados
Abra report.md para consultar o relatório em formato portátil. Ao compartilhá-lo ou arquivá-lo, mantenha juntos todos os arquivos do diretório da varredura. Para usar outros formatos ou acompanhar issues, consulte Exporte e acompanhe os achados. Depois de aceitar um achado, gere e verifique uma correção.