CLAUDIT-SEC CLI
Скрипт аудита для macOS и Windows показывает, что в Claude Desktop расширяет доступ агента, и сам ничего не меняет
- 300 ★ репозитория
- Последний коммит
- Apache-2.0
Расширенный доступ
Почему такой уровень
- Скрипт запускается с правами пользователя и читает конфигурации приложения, а при запуске от root обходит профили всех пользователей
- Отчет перечисляет команды MCP-серверов и имена переменных окружения, поэтому HTML и JSON стоит хранить как чувствительные файлы
Установка
- Работает в
Ручная установка
git clone https://github.com/HarmonicSecurity/claudit-sec.git && cd claudit-sec && chmod +x claude_audit.sh && ./claude_audit.shДля macOS нужен `jq`: `brew install jq`.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Скрипт запускается с правами пользователя и читает конфигурации приложения, а при запуске от root обходит профили всех пользователей
- Отчет перечисляет команды MCP-серверов и имена переменных окружения, поэтому HTML и JSON стоит хранить как чувствительные файлы
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
CLAUDIT-SEC читает локальную конфигурацию Claude Desktop и печатает отчет о том, что настроено и что из этого расширяет доступ агента. Под macOS это скрипт `claude_audit.sh` для zsh, под Windows `claude_audit.ps1` для PowerShell. Отчет начинается с настроек CoWork и MCP-серверов с командами, аргументами и именами переменных окружения. Дальше идут расширения DXT с признаком подписи, плагины с хуками и OAuth-коннекторы. Еще скрипт собирает скиллы из девяти каталогов и расписания задач, где cron-выражения переведены на обычный язык. Каждая находка получает уровень: WARN для того, что расширяет поверхность атаки, например неподписанное расширение, REVIEW для случаев, где нужно решение человека, и INFO для справки. Секреты, токены OAuth и ключи API в выводе заменяются на [REDACTED]. Отчет выводится цветом в терминал, автономной страницей HTML (`--html`) или структурированным JSON (`--json`) для SIEM.
Для кого. Для специалистов по безопасности и администраторов рабочих машин с Claude Desktop.
Подходит, если
- Нужна инвентаризация MCP-серверов, расширений и коннекторов на ноутбуке сотрудника до или после внедрения Claude Desktop
- Хочется найти неподписанные расширения, плагины с хуками и задачи, которые запускаются без вас
- Данные для SIEM нужны в виде JSON: флаг `--json` отдает структуру, а у многопользовательской машины получается массив
- Надо разослать проверку через MDM, например Jamf, Mosyle, FleetDM или Intune, и собрать отчеты по всем пользователям
- Вы готовите отчет для руководства и берете автономную страницу HTML с правами 0600
Не подходит, если
- Нужно защитить действия агента в момент выполнения: скрипт только читает конфигурацию и ничего не блокирует
- Требуется проверка кода или зависимостей проекта: инструмент смотрит настройки приложения и в исходники не заглядывает
- Основная работа идет в терминальном Claude Code: его настройки проверяются поверхностно, акцент сделан на Desktop
- Нужна устойчивая поддержка Windows: версия для Windows еще дорабатывается
Пример запроса к агенту
Запусти `./claude_audit.sh --html` и скажи, какие расширения без подписи и какие задачи по расписанию есть в моем Claude Desktop.Ограничения
Версия для macOS требует jq и zsh, для Windows нужен PowerShell 5.1 или новее, и она пока дорабатывается. Проверка многопользовательской машины запускается от root или администратора, иначе читается только текущий профиль. Скрипт не принимает решений за вас: уровень REVIEW означает, что находку нужно оценить самому. Версий в реестрах пакетов нет, скрипт запускается из клона. Перед запуском на рабочей машине прочитайте скрипт целиком: на каждую платформу это один файл, и проверка займет немного времени.
Как отключить. Установки нет: удалите клонированную папку claudit-sec. Скрипт ничего не записывает в проверяемые файлы. Отчеты HTML и JSON лежат там, куда вы их сохранили.
Частые вопросы
Как запустить CLAUDIT-SEC на macOS?
Клонируйте репозиторий, выполните `chmod +x claude_audit.sh` и запустите `./claude_audit.sh`. Нужны zsh и jq, который ставится командой `brew install jq`.
Меняет ли скрипт что-нибудь в настройках Claude?
Нет, он только читает. Сетевых запросов он не делает. Файлы создаются только при флагах `--html` и `--json`.
Как получить отчет для SIEM?
Запустите `./claude_audit.sh --json > audit.json`. Секреты в JSON уже вырезаны, а проверка нескольких пользователей дает массив.
Можно ли проверить всех пользователей машины сразу?
Да, запуск от root проверяет всех, у кого есть данные Claude, а флаг `--user имя` ограничивает проверку одним профилем. В Windows для этого служит `-AllUsers` с правами администратора.
Проверяет ли скрипт Claude Code?
Только поверхностно: читается файл `~/.claude/settings.json`. Основные проверки посвящены Claude Desktop, в том числе функции CoWork. Встроенная функция Code в Desktop и терминальный Claude Code — разные вещи.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыAgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
MCP-Shield находит конфигурации MCP, подключается к серверам и ищет в описаниях инструментов скрытые команды, каналы утечки и подмену чужих инструментов
Каталог из 22 плагинов с хуками для Claude Code: безопасность, контроль расходов, наблюдаемость и автоматизация
Trail of Bits Claude Code Config
claude-code-config
Настройки и приемы Claude Code от Trail of Bits: песочница, права, хуки, скиллы и MCP-серверы. Это подборка рекомендаций, а не пакет
Плагин и сервер подтверждений для Claude Code и Codex: опасный вызов инструмента ждет вашего решения до запуска
GitHub Action от Anthropic, который проверяет изменения в pull request на уязвимости с помощью Claude и оставляет комментарии
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
Коротко о README
Кроме README, в папке docs лежит справочник находок: для каждой проверки описано, что она значит, чем опасна и что делать. Свойства безопасности сформулированы прямо: скрипт только читает, в сеть не ходит и вырезает секреты.