Codex でセキュリティレビュー：プルリクエスト、ローカルのスキャン、CI

セキュリティレビューで Codex ができること

• マージの前に、各変更にインジェクション、認可の欠落、データの露出、コード内のシークレットがないかを確認します。
• スケジュールに沿ってリポジトリ全体をスキャンし、警告を並べるだけでなく、根拠付きで指摘を報告します。
• 確認された指摘を、深刻なものから順にパッチか issue にします。
• 修正をもう一度確認し、穴がふさがったことを確かめます。

セキュリティレビューに使える Codex の機能

セキュリティレビュー向けに Codex を設定する方法

1. ツールをつなぐ

   最初のローカルスキャンにはプラグインを、スクリプトと CI には CLI を使います。OpenAI のモデルを使うスキャンには Codex Security へのアクセスが必要です。ChatGPT のアカウントでサインインし、結果はリポジトリの外に保存しましょう。

   # サインインしてからリポジトリをスキャンする。結果はリポジトリの外に
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. AGENTS.md にルールを書く

   Codex は作業の前に AGENTS.md を読みます。まず ~/.codex/AGENTS.md、次にリポジトリのルートから作業中のフォルダまでのファイルです。仕事のルールはそこに書くか、長くなるなら .agents/skills/ 以下のスキルにします。AGENTS.md ガイドをご覧ください。

   ## セキュリティレビューのルール
   - auth/、billing/、SQL に触れるプルリクエストはすべてレビューする。
     インジェクション、認可チェックの欠落、コード内のシークレット、
     別のユーザーに返されるデータを探す。
   - 各指摘に Critical、High、Medium、Low の評価を付け、ファイル、
     行、悪用の方法を書く。
   - 本番環境や自分たちのものではない対象に、エクスプロイトを決して
     実行しない。コードを読み、ローカルでテストする。
   - 修正はプルリクエストにする。main には決してプッシュしない。

3. 対話型の画面なしで実行する

   codex exec は 1 つのタスクを実行して終了します。進捗は stderr に、最終メッセージは stdout に出力されます。-o を付けるとファイルにも書き出し、--json を付けるとイベントをストリームします。--sandbox workspace-write を渡さない限り、サンドボックスは読み取り専用です。

   # AGENTS.md のルールで、このブランチのセキュリティチェック
   codex exec "AGENTS.md に従って、このブランチを main と比べ、セキュリティの問題をレビューして"
   
   # CI からのリポジトリスキャン。ライブのダッシュボードなしで
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. スケジュールに載せる

   ChatGPT のデスクトップアプリか Web でスケジュールタスクを作るか（CLI では管理できません）、cron から codex exec を実行します。Codex を自律的に動かす方法をご覧ください。

出典：Codex のドキュメント

限界と安全性

• 読むのはチェックアウトしたコードで、稼働中のサイトではありません。サーバーの設定ミスは見つけられません。
• スキャンは非決定的で、実行するたびに違う指摘が出ることがあります。1 回きりではなく、定期的に実行しましょう。
• 既存のスキャナーや依存関係のアラートを補うものです。それらやペネトレーションテストの代わりにはなりません。
• Codex はデフォルトでコマンドをサンドボックスの中で実行します。書き込みはワークスペース内に限られ、ネットワークはオフです。danger-full-access は、隔離されたランナーやコンテナでだけ使いましょう。

セキュリティレビューに使うなら Claude Code と Codex のどちら？

ルールはそのまま使い回せます。AGENTS.md に一度書き、CLAUDE.md に @AGENTS.md と書いておけば、両方のエージェントが同じファイルを読みます。

もう一方のエージェントでの手順：セキュリティレビューを Claude Code で行う方法。

セキュリティレビューを誰かの仕事にする

コマンドは、誰かが実行を思い出したときにしか動きません。Crewmark は、あなたの Codex を、職種、数字の目標、勤務時間、ハートビートを持つ AI 社員に変えます。仕事はスケジュールどおりに進み、ボードに表示されます。

1. 職種から始める

   AI ソフトウェアエンジニアを選び、ブリーフにこのページのルールを加えます。

2. 仕事をボードに載せる

   この仕事を定期 issue として追加します。社員はハートビートで起きて仕事をこなし、結果をコメントで報告します。

3. 関連ページ

   セキュリティ以外のバグについてはコードレビューをご覧ください。

よくある質問