Agentic Security — плагин
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
- 121 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- Подтверждение эксплуатации исполняет воспроизводящий код, а исправления записываются в файлы проекта
- Хуки и команды деплоя могут блокировать релизы и менять конфигурацию CI
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/agentic-securityОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Подтверждение эксплуатации исполняет воспроизводящий код, а исправления записываются в файлы проекта
- Хуки и команды деплоя могут блокировать релизы и менять конфигурацию CI
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Agentic Security соединяет детерминированный анализ кода с агентами безопасности. Агенты ищут слабые места и спорят с находками, а серьезность, достижимость и подтверждение эксплуатации решают механические проверки: сама модель их не назначает. Незавершенный или частичный скан отчет не называет чистым. В Claude Code плагин дает слэш-команды: `secure` подсказывает следующий шаг, `scan` запускает сканер, `triage` разбирает находки, `fix` готовит патч, `supply` проверяет цепочку поставок, `image` смотрит контейнерные образы, `compliance` собирает технические доказательства по требованиям фреймворков. Патч применяется только после повторного скана, линтера и тестов, а отчет называет проверки, которые не прошли. Тот же движок работает из терминала командой `npx @clear-capabilities/agentic-security-scanner`. Отчеты выходят в HTML, JSON, Markdown, SARIF и OSCAL. Репозиторий включает учебное уязвимое приложение для первого запуска.
Для кого. Командам разработки и безопасности, которые хотят проверять свой код и образы агентом и получать подтверждения, а не список предположений.
Подходит, если
- Перед релизом нужно просканировать проект и получить находки с оценкой достижимости
- Находка вызывает сомнения, и надо проверить, воспроизводится ли она в изолированном запуске: `triage exploit <id> --prove`
- Агент чинит уязвимость, и перед записью патча нужны повторный скан, линтер и тесты
- В CI нужен барьер, который падает и тогда, когда сам скан не завершился: `ci --assurance strict`
- Нужен SBOM, проверка контейнерного образа или отчет OSCAL по требованиям фреймворка
Не подходит, если
- Нужна гарантия отсутствия уязвимостей или сертификат соответствия: отчеты о соответствии дают только технические доказательства
- Нужна замена ручному пентесту и ревью людей: автор прямо называет инструмент дополнением к ним
- Нужно перепродавать сканер или встроить его в конкурирующий продукт: лицензия PolyForm Internal Use это запрещает
Пример запроса к агенту
Запусти /agentic-security:`secure` в этом проекте и покажи, что делать дальше.Ограничения
Нужен Node.js 24 или новее. Лицензия PolyForm Internal Use разрешает внутреннее использование и запрещает перепродажу, GitHub не определяет ее автоматически. Автор приводит и собственный замер точности на постороннем коде: локальная точность 6 из 19, полнота 6 из 278, поэтому чистый скан не доказывает безопасности. Часть возможностей помечена как Preview, Labs или Roadmap и работает нестабильно. Исправления и проверки запускаются на вашей машине, а подтверждение эксплуатации исполняет воспроизводящий код.
Как отключить. Удалите плагин командой /plugin в Claude Code и глобальный пакет через npm `uninstall` -g @clear-capabilities/agentic-security-scanner. Каталог .agentic-security с отчетами удалите вручную.
Частые вопросы
С чего начать после установки?
Запустите `/agentic-security:secure`. Команда осмотрит проект и подскажет, что выполнить дальше. Ключи `--tour`, `--help` и `--daily` тоже поддерживаются.
Как попробовать, не трогая свой код?
В репозитории есть учебное уязвимое приложение. Запустите `npx @clear-capabilities/agentic-security-scanner ci examples/demo-app --assurance strict` и посмотрите результат.
Что значит режим `assurance` `strict`?
Барьер проверяет и найденное, и то, завершился ли сам скан. Если анализатор недоступен или данные устарели, статус `partial` не пройдет как чистый. Ключ есть только у `ci`.
Работает ли плагин вне Claude Code?
Да. Движок запускается из терминала через `npx @clear-capabilities/agentic-security-scanner`, а для Codex, Cursor и Gemini CLI в репозитории есть описание подключения.
В каких форматах выходит отчет?
HTML, JSON, Markdown, SARIF, OSCAL и CSV: формат задает ключ `--format`, например `scan . --format html --output report.html`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСкилл для Claude Code ищет уязвимости в одной сессии: модель угроз, проверка находок, отчет с CWE и CVSS без внешнего сканера.
Плагин AppSec для Claude Code: сканеры секретов, зависимостей и кода плюс скиллы, которые проверяют находки на реальность
Сканер безопасности для кода от ИИ: секреты, зависимости, MCP и CI, расследование находок с доказательствами и исправления с подтверждением
Prowler — плагин для Claude Code
Prowler for Claude Code
Плагин ведет облачный аккаунт к соответствию CIS, PCI-DSS и другим стандартам: берет отчет Prowler Cloud, чинит нарушения и предлагает повторный скан
Набор из полусотни субагентов Claude Code для авторизованного пентеста: планирование, разведка, поиск и цепочки эксплойтов, пост-эксплуатация, детект и отчеты
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
Коротко о README
Платформа проверки безопасности устроена как цикл из десяти стадий: от поиска и подтверждения до исправления, проверки и обучения. Подробно объяснены принципы доверия, зрелость возможностей, команды по этапам цикла, установка и покрытие языков. Отдельные разделы объясняют, чего инструмент не делает: не выдает сертификат и не заменяет ручную проверку.