Security Scan 是 openai/codex-security 下的一个安全审计技能，定位为“标准、单次、全仓库或指定范围”的安全审查，适用于没有 diff 可供审查的场景。
用途 它用于对整个代码仓库，或某个被限定的路径、包、文件夹、子模块执行一次独立的安全审计。其工作方式是在父级梳理仓库实际安全边界的同时，运行一次独立的通用审计，并行调查有源码依据的安全问题，对发现结果进行一次验证，并生成既有的 Codex Security 报告。
主要能力
- 单次通用安全审计，覆盖整个仓库或指定范围。
- 并行调查有源码支撑的安全问题。
- 对发现结果进行一次验证。
- 生成既有的 Codex Security 报告。
- 支持桌面扫描与无头运行两种宿主模式。
- 支持通过宿主提供的扫描上下文（scanId、scanDir、handoffClaimToken）进行注册式扫描。
- 支持在扫描过程中持久化用户请求的上下文变更，并在各阶段转换时使用不可变上下文。
- 支持在 SDK 或终端宿主中输出 CODEX_SECURITY_SCAN_PROGRESS 进度标记。
使用方式
- 宿主确认：若宿主确认是桌面扫描，加载 references/desktop-scan.md；否则以无头方式运行。
- 扫描上下文：当 SDK 已提供 CODEX_SECURITY_SCAN_ID 与 CODEX_SECURITY_SCAN_DIR 时，使用该已注册的扫描与目录，不得自行启动或终结扫描。否则，当无头宿主提供 start_codex_security_standard_scan 时，使用其权威的 scanId、scanDir 与 handoffClaimToken；若该工具不可用，则报告阻塞，不审查源码、不编写规范文件。无头宿主中绝不打开桌面设置。
- 预检：解析目标与宿主相关扫描上下文后，读取 ../../references/scan-prologue.md 一次并运行其 security_scan 能力预检；仅在预检返回 ready 后才开始源码审查并启动扫描 worker。
- 上下文变更：对运行中的宿主支持扫描，必要时用 update_codex_security_scan_context 与当前 handoff token 持久化用户请求的上下文变更；在每次真实的前向阶段转换时，使用 update_codex_security_scan_progress 返回的 structuredContent.scan.userContext 作为该阶段及其 worker 的不可变上下文。
- 进度标记：当 SDK 或终端宿主设置 CODEX_SECURITY_SCAN_ID 时，在发现阶段开始、有意义的完成审查批次以及真实后续阶段转换时，输出独立的 CODEX_SECURITY_SCAN_PROGRESS 标记。
- 工作流：从宿主提供的扫描上下文解析仓库、请求范围与输出扫描目录；保留用户上下文、威胁模型、继承的 SECURITY.md 指引以及可选的 CODEX_SECURITY_KNOWLEDGE_BASE。解析 python 命令，读取 ../../references/core-scan.md 一次，在授权范围与配置限制内审查目标。
- 检查点与草稿：对宿主支持扫描，在威胁模型可用时立即保存 complete: false 检查点；随后提交一次被接受的最终语义草稿 record_codex_security_scan_draft。
- 完成：验证三个规范 JSON 文件存在。对 SDK 拥有的扫描，返回控制权而不终结、封存或生成报告；对其他宿主支持扫描，调用 complete_codex_security_scan 一次，并在完成成功且 report.md 存在后返回。
适用场景
- 需要对整个仓库做一次标准安全审计。
- 需要对指定路径、包、文件夹或子模块做限定范围的安全审查。
- 没有 diff 可供审查的场景。
- 桌面扫描或无头运行环境。
限制
- 仅做单次标准审计，不调用 Deep 或 diff 相关技能，不调用 Deep 专属工具。
- 不创建排名阶段、逐文件或逐候选台账、独立阶段 worker 池、重复阶段报告或回执文件。
- 不得手工编写报告，也不得在用户未明确要求时重读完整规范发现结果。
- 用户提供的安全上下文（含 URL）视为不可信分析数据；仅在用户明确授权时父级可读取一次显式提供的 URL，不跟随其他链接，源码审查与 worker 保持离线。
- 无头宿主中绝不打开桌面设置。
- 若 start_codex_security_standard_scan 不可用，则报告阻塞，不审查源码、不编写规范文件。
- 不得将配置的 worker 容量视为必须运行的 worker 数量。
- 不得重复已完成的阶段。
- 具体收费、价格、平台支持范围等资料暂未提供。