开始使用
Codex Security 是什么？
软件安全仍然是工程中最困难、也最重要的问题之一。Codex Security 是一个 LLM 驱动的安全分析工具包，会检查源代码，并返回结构化、按优先级排序的漏洞 findings 和建议补丁。它帮助开发者和安全团队规模化发现并修复安全问题。
为什么重要？
软件是现代产业和社会的基础，漏洞会带来系统性风险。Codex Security 通过持续识别可能的问题、在可行时验证它们并提出修复方案，支持防御优先的 workflow。这有助于团队在不拖慢开发的前提下提升安全性。
Codex Security 解决什么业务问题？
Codex Security 会缩短从疑似问题到“有证据、可复现、带建议补丁”的 confirmed finding 之间的路径。与只使用传统 scanners 相比，它可以降低 triage 负担并减少误报。
Codex Security 如何工作？
Codex Security 会在临时、隔离的 container 中运行分析，并临时 clone 目标 repository。它执行代码级分析，并返回结构化 findings，其中包含描述、文件和位置、criticality、根因以及建议修复方案。
对于包含 verification steps 的 findings，系统会在同一个 sandbox 中执行建议的 commands 或 tests，记录成功或失败、exit codes、stdout、stderr、test results，以及任何生成的 diffs 或 artifacts，并把这些输出作为可审查证据附上。
它会取代 SAST 吗？
不会。Codex Security 是对 SAST 的补充。它增加了语义层面的、基于 LLM 的推理和自动 validation；现有 SAST tools 仍然提供广泛的确定性覆盖。
功能
分析 pipeline 是什么？
Codex Security 遵循分阶段的流程：
分析为repository构建threat model。
提交扫描审查合并的提交和repository历史记录以查找可能的问题。
validation尝试重现沙箱中可能存在的漏洞，以减少误报。
Patching 与 Codex 集成，以提出补丁供审阅者在打开 PR 之前检查。
它与 GitHub、Codex 和标准审核工作流程中的工程师一起工作。
支持哪些语言？
Codex Security性与语言无关。在实践中，性能取决于模型对repository使用的语言和框架的推理能力。
扫描完成后会得到哪些输出？
你会获得对结果进行排序的重要性、validation 状态以及建议的补丁（如果有可用的补丁）。发现项还可以包括崩溃输出、复制证据、调用路径上下文和相关注释。
客户代码如何隔离？
每个分析和validation作业都在带有会话范围工具的临时 Codex 容器中运行。artifact被提取以供检查，工作完成后容器将被拆除。
Codex Security 会自动应用补丁吗？
不会。建议的补丁是建议的修复措施。用户可以查看它并将其作为 PR 从结果 UI 推送到 GitHub，但 Codex Security 不会自动将更改应用到repository。
扫描前项目需要完成构建吗？
不需要。Codex Security 可以从repository和提交上下文中生成结果，而无需编译步骤。在自动validation期间，如果这有助于重现问题，它可能会尝试在容器内构建项目。有关环境设置的详细信息，请参阅 Codex Cloud环境。
Codex Security 如何减少误报并避免破坏性补丁？
Codex Security 使用两个阶段。首先，该模型对可能的问题进行排名。然后自动validation尝试在干净的容器中重现每个问题。成功重现的结果被标记为已validation，这有助于减少人工审查之前的误报。
初始扫描需要多久，之后会发生什么？
初始扫描时间取决于repository大小、构建时间以及需要validation的结果数量。对于某些repository，扫描可能需要几个小时。对于较大的repository，可能需要几天的时间。稍后的扫描通常会更快，因为它们专注于新的提交和增量更改。
Threat model 是什么？
threat model是repository的扫描时安全上下文。它将简洁的项目概述与攻击面详细信息（例如入口点、信任边界、身份validation假设和风险组件）结合起来。有关更多详细信息，请参阅改进threat model。
Threat model 如何生成？
Codex Security 提示模型总结repository架构和安全入口点，对repository类型进行triage，运行专门的提取器，并将结果合并到整个扫描过程中使用的项目概述或threat modelartifact中。
它会取代人工安全审查吗？
不会。Codex Security 可加速审查并帮助对结果进行排名，但它不会取代代码级validation、exploitability检查或人类威胁评估。
我可以编辑 threat model 吗？
是的。 Codex Security 创建初始threat model，你可以随着架构、风险和业务环境的变化来更新它。有关编辑工作流程，请参阅改进threat model。
使用 threat modeling 前需要先配置扫描吗？
是的。threat model指南与你扫描的方式和内容相关，因此你需要首先配置repository。请参阅 Codex Security设置。
建议补丁包含什么？
当可以针对发现的问题生成修复时，建议的补丁包含带有文件名和行上下文的最小可操作diff。
补丁会直接修改我的 PR branch 吗？
不会。工作流程会生成diff、补丁文件或建议的更改，供维护人员和审阅人员在应用之前进行检查。
验证
Auto-validation 是什么？
自动validation是尝试在隔离容器中重现可疑问题的阶段。它记录复制是否成功或失败，并捕获日志、命令和相关artifact作为证据。
如果 validation 失败会怎样？
该发现尚未得到证实。日志和报告仍然捕获所尝试的内容，以便工程师可以重试、进一步调查或调整再现步骤。