auditor-skill — плагин
Плагин проверяет безопасность программ Solana и кода вокруг них по 1465 пунктам и 141 известной атаке и пишет отчет.
- 64 ★ репозитория
- Последний коммит
- MIT
Широкий доступ
Почему такой уровень
- По умолчанию собирает и тестирует проект на вашей машине, запуская его скрипты сборки и тесты.
- Для подтвержденных находок создает запускаемый эксплойт, это двойное назначение.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/auditor-skillОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- По умолчанию собирает и тестирует проект на вашей машине, запуская его скрипты сборки и тесты.
- Для подтвержденных находок создает запускаемый эксплойт, это двойное назначение.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
auditor-skill читает код файл за файлом, проверяет 1465 пунктов из 20 областей безопасности и сверяет его со 141 реальным вектором атаки. Каждому замечанию он присваивает оценку от 1 до 10 и сводит все в структурированный отчет. Для подтвержденных находок высокого и критического уровня может создать запускаемый эксплойт и исправление, доказанно его останавливающее. Охват шире самих программ: Anchor, нативные программы и Pinocchio, а также сервисы на TypeScript и Rust, веб-интерфейсы, код на Python, Go, Java, Ruby и PHP, процессы CI, инфраструктура и ИИ-компоненты. Проверка изменений ветки запускается командой `/auditor:diff-audit` и пишет `audit_<n>/PR-REPORT.md`.
Для кого. Разработчикам и командам проектов на Solana, которым нужна первая проверка безопасности перед внешним аудитом.
Подходит, если
- Перед слиянием проверяют изменения ветки относительно `main` командой `/auditor:diff-audit`.
- Перед запуском в основной сети проводят полный проход по репозиторию.
- Для подтвержденной находки получают исправление, которое проверено на эксплойте.
- Разбирают инцидент: команды расследования лишь описывают шаги и ничего не подписывают.
Не подходит, если
- Требуется заключение профессионального аудита с гарантией безопасности.
- Код нельзя собирать и тестировать на вашей машине.
- Нужны проверки социальной инженерии и юридического соответствия.
Пример запроса к агенту
Проверь изменения моей ветки программы Solana относительно main командой diff-audit и покажи замечания по оценке.Ограничения
Это первый проход, а не профессиональный аудит: перед основной сетью нужен человек-аудитор. По умолчанию плагин собирает и тестирует проект на вашей машине, то есть запускает скрипты сборки, процедурные макросы и тесты самого проекта. Для чужого кода включайте строгий режим с отдельной командой запуска, он же не пускает ваши плагины. Правила возобновления могут сами начинать проверку в любом открытом репозитории. Команды инцидентов лишь описывают шаги и никогда не подписывают и не отправляют транзакции.
Как отключить. Удалите плагин командой Claude Code и каталоги `audit_<n>/` из проверенных репозиториев, если они не нужны.
Частые вопросы
Как поставить плагин?
Выполните `/plugin marketplace add solanabr/auditor-skill` и `/plugin install auditor`.
Как проверить только изменения ветки?
Закоммитьте работу, перенесите ветку на `main` и выполните `/auditor:diff-audit`. Отчет ляжет в `audit_<n>/PR-REPORT.md` в каталог запуска, который игнорирует git.
Можно ли использовать без Claude Code?
Да, это еще и папка файлов скилла, которой может следовать любой агент на основе LLM.
Что такое строгий режим?
Запуск Claude Code с отдельными настройками, где плагин не пускает ваши плагины и ограничивает сборку недоверенного кода. Команда запуска описана в README.
Заменяет ли он человеческий аудит?
Нет. Он дает первый проход и не обещает вывод «безопасно запускать».
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСкилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет
Навык проверки безопасности по OWASP Top 10, CWE и CVSS с глубоким сканированием PHP и TYPO3 по 80 с лишним контрольным точкам.
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Скилл проверяет проект на типовые дыры вайбкодинга: ключи в коде, .env в git, открытые LLM-эндпоинты и слабую авторизацию.
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Скилл для проверки кода на уязвимости по OWASP Top 10:2025, ASVS 5.0 и спискам уязвимостей для LLM и ИИ-агентов 2026 года
Коротко о README
README начинается с предупреждения о пределах возможностей и делит работу по глубине: изменения, модуль, релиз. Установка идет двумя командами в Claude Code.