Semia CLI
Semia, CLI аудита скиллов, читает инструкцию как данные: команды проверяемого скилла во время анализа не выполняются.
- 615 ★ репозитория
- Последний коммит
- Apache-2.0
Расширенный доступ
Почему такой уровень
- Анализ передает текст выбранной модели, сохраняет отчеты и может подготовить патч инструкции.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/semiaОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Анализ передает текст выбранной модели, сохраняет отчеты и может подготовить патч инструкции.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Semia, CLI аудита скиллов, разбирает инструкции до подключения к агенту. Сначала утилита готовит исходный текст. Выбранная модель извлекает из него предполагаемые действия, после чего программа сопоставляет их с правилами и составляет отчет. Находки связаны со строками источника: пользователь видит, на каком фрагменте основан вывод. Результат можно получить в Markdown, JSON или SARIF для GitHub. После анализа команда `semia repair` создает вариант исправленного `SKILL.md` по найденным проблемам; пользователь просматривает патч до замены инструкции.
Для кого. Ревьюерам сторонних скиллов, которые проверяют команды и доступ к данным до подключения инструкции к агенту.
Подходит, если
- Перед подключением скилла ревьюер изучает описанные в нем команды.
- В инструкции ищут чтение секретов и сетевые действия.
- Результаты аудита передают в GitHub Code Scanning.
- После разбора находок автор готовит патч инструкции.
Не подходит, если
- Нужна гарантия отсутствия любого вредного поведения.
- Ожидается исполнение скилла в изолированной среде.
- Нельзя передавать текст инструкции выбранной модели.
Пример запроса к агенту
Проверь этот скилл Semia без его выполнения и покажи команды, чтение секретов и строки, на которых основаны выводы.Ограничения
CLI требует Python 3.11 или новее и настроенного провайдера для этапа извлечения действий. Текст инструкции передается выбранной модели, поэтому используйте разрешенный для этих материалов API или свой установленный CLI. Статический анализ может пропустить действие или неверно понять условие: проверьте важные находки по исходным строкам. Команда `semia repair` создает исправленный вариант `SKILL.md`, который нужно просмотреть как обычный патч до замены рабочей инструкции.
Как отключить. Удалите пакет `semia-audit` и отключите плагин, если подключали его. Отчеты и предложенные патчи в `.semia` остаются в проекте.
Частые вопросы
Исполняется ли проверяемый скилл?
Нет. Анализатор читает инструкцию как данные и извлекает предполагаемые действия через модель. Результат не подтверждает, как скилл поведет себя при реальном выполнении.
Куда записываются результаты?
По умолчанию в `.semia/runs/`; путь меняется параметром `--out`.
Есть ли работа без отдельного API-ключа?
Плагин использует модель основного клиента; также можно выбрать установленный Claude Code или Codex CLI.
Как получить SARIF?
Команда `semia report` экспортирует результат сканирования; параметр `--format sarif` выбирает SARIF. Пример: `semia report .semia/runs/some-skill --format sarif`. Подставьте каталог своего запуска вместо some-skill и передайте отчет в GitHub Code Scanning.
Какие этапы детерминированы?
Подготовка, проверка правил и построение отчета; извлечение действий использует модель.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыТри скилла Semgrep: безопасный код по OWASP, защита LLM-приложений и запуск Semgrep со своими правилами в Claude Code и Cursor
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Сканер безопасности для скиллов и MCP агентов: ищет промпт-инъекции, утечки данных и риски цепочки поставок до установки
Статический анализ кода по правилам, похожим на сам код, со встроенным MCP-сервером для AI-агентов
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
VibeSec
VibeSec-Skill
Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений
Коротко о README
При работе внутри плагина основная модель клиента выполняет извлечение фактов, а комплектная утилита готовит данные и проверяет правила.