OpenAIは、ほかのセキュリティ検査ツールの結果を取り込めるようCodex Securityを更新した。スキャン結果に範囲とレビュー情報を格納する構造も変わり、結果を自動で読み取る開発チームは連携コードを修正する必要がある。

1. OpenGrepの検査証拠をレビューフローにつなぐ

2026年10月28日に公開された0.8.0は、OpenGrepレポートの取り込みに対応する。既存ツールが見つけた問題と根拠をセキュリティレビュー作業に引き渡す機能だ。

レポートはJSON形式、またはgzipで圧縮された形式で取り込める。対象はローカル作業環境のworkbenchとリモートサービスのCloudだ。ローカルでレポートを読み込む方法と、リモートに公開する方法の2つが利用できる。

取り込み時には元のリポジトリのURLを指定し、外部取り込みを有効にする必要がある。リリースに記載された公開コマンド、リポジトリ指定オプション、有効化設定は次のとおりだ。

publish findings --provider opengrep
--source-repository-url
CODEX_SECURITY_ENABLE_EXTERNAL_IMPORTS=1

取り込んだ検出項目には元のスキャナーの証拠が保持される。ただし、初期状態では未評価のため、取り込み後に各項目をレビューする手順が必要になる。

2. 検査範囲とレビュー記録の読み取り位置を変更

結果構造の変更の要点は、検査範囲とレビュー情報を新しい場所から読み取ることだ。スキャンが何を対象としたか、レビューがどこまで進んだかを、連携コードがそれぞれ参照するよう案内している。

SDKやJSON結果を読み取る連携機能は、比較から除外する範囲を探す際、ScanResult.coverageやエクスポート結果の同名フィールドではなくreviewを使う必要がある。従来のフィールドに依存した結果比較ロジックが、優先的な修正対象となる。

検査方法と範囲はmanifest.scanから読み取る。ここでmanifestはスキャン情報をまとめた記録であり、検査対象を確認する基準となる。

下書きを作成する連携機能は、レビュー済みの領域、未完了の作業、未解決の質問をreviewStateに記録する方式に変わる。単に検査対象を移すだけでなく、レビューの進捗を書き込む場所も変わる。

3. 保存ファイルと自動化の出力も併せて移行

新規スキャンではcoverage.jsonを使用しなくなる。結果のパスを示していたフィールドの代わりに使う名前はmanifestPathだ。保存ファイルを探して次の処理に渡す連携機能も変更対象となる。

レビュー情報はscan-manifest.json内のscan.reviewから読み取る。既存の保存済みスキャンは引き続き読み取れるため、今回の移行は新規スキャンが生成するファイルと、それを利用するコードに重点を置いている。

GitHub Actionsを使う自動化では、出力名をcoverage-pathからmanifest-pathに変更する必要がある。現行バージョンで作成したスキャンでは従来の出力が空になるため、旧名を読み取る後続処理は必要なパスを受け取れない。

更新を適用するチームは、結果比較ロジック、保存ファイルのパス、自動化の出力連携を併せて確認するとよい。同じ結果を読む場合でも、コードがアクセスする箇所によって変更すべき部分が異なるためだ。

4. 中断した検査の再開と保存成果物へのアクセスを改善

中断した詳細検査のDeep Scanは、追加指示を消去してから再開できる。中断前に使っていた指示を整理して検査を続ける復旧経路が修正された。

完了したローカルスキャンの保存成果物は、元のチェックアウトを移動または削除した後も読み取れる。チェックアウトは検査に使ったソースコードのローカルコピーで、その場所が変わっても完了済みの結果にアクセスできる。

リリースでは、スキャンの完了と復旧を簡素化した変更を互換性変更の項目に含めた。過去のスキャン記録の復旧を説明する文書も更新し、新規検査だけでなく保存済みの結果を再び扱う経路も見直した。

5. 結果再利用の利点と連携修正のコスト

今回のバージョンの利点は、既存スキャナーの証拠を活用し、中断した検査やソースの場所が変わった検査の結果を引き続き扱えることだ。その一方、既存の自動化には、結果フィールド、ファイルパス、出力名を新しい構造に合わせて修正する負担が生じる。

取り込み処理では、リモートリクエストのバイト数を、一度にまとめて処理する単位であるバッチごとに送信形式へ再変換せず計算するよう変更した。結果の再処理でも、SQLiteデータベースを不必要に読み込んで内容を解析する作業を減らした。リクエストサイズの計算や保存済みの結果の読み取りで、重複作業を削減する変更だ。

Codex Security 0.8.0は、外部の検査証拠を活用する経路を広げる一方、既存の結果連携には新しい構造への移行を求める更新だ。