Ghost Security Skills — плагин
Плагин AppSec для Claude Code: сканеры секретов, зависимостей и кода плюс скиллы, которые проверяют находки на реальность
- 427 ★ репозитория
- Последний коммит
- Apache-2.0
Широкий доступ
Почему такой уровень
- Скиллы скачивают и запускают бинарники сканеров на вашей машине
- Reaper перехватывает HTTPS-трафик приложения при живой валидации, а секреты из репозитория попадают в вывод и контекст агента
Установка
- Работает в
Ручная установка
claude plugin marketplace add ghostsecurity/skillsПодключает маркетплейс Ghost Security. Внутри Claude Code то же делает /plugin marketplace add.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Скиллы скачивают и запускают бинарники сканеров на вашей машине
- Reaper перехватывает HTTPS-трафик приложения при живой валидации, а секреты из репозитория попадают в вывод и контекст агента
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Репозиторий — маркетплейс плагинов Ghost Security для Claude Code. Плагин ghost добавляет четыре инструмента: Poltergeist ищет секреты, Wraith сверяет зависимости с базой OSV, Exorcist анализирует код по 102 типам уязвимостей, а Reaper — HTTPS-прокси, который перехватывает трафик для живой проверки находок. Над инструментами работает слой скиллов. Скилл запускает сканер, читает результат и смотрит на окружающий код, а затем решает, настоящая это утечка или безобидное совпадение. Цикл такой: найти, проверить, исправить. Рекомендации по исправлению агент может применить сам. Скиллы называются ghost-repo-context, ghost-scan-deps, ghost-scan-secrets, ghost-scan-code, ghost-report, ghost-validate и ghost-proxy. Бинарники инструментов скиллы устанавливают сами при запуске. Отдельный плагин exo добавляет скилл ghost-exo для платформы оркестрации агентов exo.
Для кого. Для разработчиков и команд безопасности, которые хотят проверять свой репозиторий на секреты, уязвимые зависимости и ошибки в коде прямо из Claude Code.
Подходит, если
- Перед релизом нужно проверить репозиторий на утекшие ключи и понять, какие из совпадений настоящие
- Нужно узнать, какие из известных уязвимостей в зависимостях действительно достижимы в вашем коде
- Нужен единый отчет по секретам, зависимостям и коду с приоритетами вместо трех отдельных выгрузок
- Нужно подтвердить находку на своем тестовом стенде: `ghost-validate` проверяет ее через код и, по желанию, живым трафиком
- Ищете сканеры по отдельности: Poltergeist, Wraith и Reaper работают как самостоятельные бинарники
Не подходит, если
- Нужен агент не для Claude Code: плагин собран под него, другие агенты в инструкции не названы
- Нет разрешения владельца системы на проверку: живая валидация через прокси Reaper запускается только против приложения, которое вы вправе тестировать
- Нужна проверка без выхода в сеть: бинарники скачиваются при первом запуске, а Wraith обращается к базе OSV
- Нужен пентест с эксплуатацией и отчетом для заказчика: плагин ищет и подтверждает находки по ходу разработки
Пример запроса к агенту
Построй контекст репозитория, найди утекшие секреты и уязвимые зависимости, а потом собери общий отчет с приоритетами.Ограничения
Плагин поставляется для Claude Code, поддержка других агентов в инструкции не заявлена. Скиллы при запуске скачивают бинарники Poltergeist, Wraith и Reaper, а Wraith запрашивает данные об уязвимостях в базе OSV по сети.
Результаты сканирования остаются на вашей машине и кэшируются, чтобы повторные запуски шли быстрее. Правила и критерии лежат в YAML-файлах, их можно расширять и заменять.
Живую валидацию через HTTPS-прокси запускайте только на приложении, которое вам разрешено проверять. Плагин exo нужен для платформы exo и подключения ее MCP-сервера, для сканеров он не требуется. Доступность скачиваемых бинарников из России при подготовке карточки не проверялась.
Как отключить. Удалите плагины командами `claude plugin uninstall ghost@ghost-security` и `claude plugin uninstall exo@ghost-security`. Кэш результатов сканирования лежит на вашей машине, его можно удалить вручную.
Частые вопросы
Как поставить скиллы Ghost Security в Claude Code?
Выполните `claude plugin marketplace add ghostsecurity/skills`, затем `claude plugin install ghost@ghost-security`. Внутри Claude Code те же шаги выполняют команды `/plugin marketplace add` и `/plugin install`. Если установщик попросит, выполните `/reload-plugins`.
В каком порядке запускать скиллы Ghost Security?
Сначала `/ghost-repo-context` строит общий контекст репозитория. Затем идут три скана: `/ghost-scan-deps`, `/ghost-scan-secrets` и `/ghost-scan-code`. После них `/ghost-report` собирает отчет, а `/ghost-validate` проверяет отдельные находки.
Что делают Poltergeist, Wraith, Reaper и Exorcist?
Poltergeist ищет секреты по шаблонам и энтропии. Wraith сканирует зависимости по базе OSV. Reaper — HTTPS-прокси для перехвата трафика при живой проверке. Exorcist анализирует код по 102 типам уязвимостей. Первые три распространяются бинарниками Go через релизы GitHub.
Можно ли использовать сканеры без скиллов?
Да. Poltergeist, Wraith и Reaper работают как самостоятельные бинарники, а скиллы лишь собирают их в конвейер от находки до исправления. Подключайте нужные вашему процессу.
Зачем в репозитории плагин exo?
Он добавляет скилл ghost-exo, который строит, улучшает и отлаживает воркфлоу на платформе оркестрации агентов exo. Для сканирования кода он не нужен, ставьте его отдельно только при работе с exo.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
VibeSec
VibeSec-Skill
Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений
Сканер безопасности для скиллов и MCP агентов: ищет промпт-инъекции, утечки данных и риски цепочки поставок до установки
Скилл аудита безопасности с ГОСТ и ФСТЭК
Security Audit Skill for Claude Code
Скилл аудита безопасности для Claude Code: OWASP Top 10 плюс ГОСТ Р 56939, приказ ФСТЭК №21 и ФЗ-152, параллельные сабагенты и матрица соответствия
Каталог из 22 плагинов с хуками для Claude Code: безопасность, контроль расходов, наблюдаемость и автоматизация
Скилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
| Запись | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| Ghost Security Skills (эта запись) | да | 427 | |
| security-audit | нет | 51 777 | один скилл Cloudflare для аудита кода, без собственных сканеров и прокси |
| Claude Code Security Reviewer | нет | 6 626 | GitHub Action от Anthropic, который проверяет изменения в pull request и не покрывает весь репозиторий и зависимости |
| Mantis | да | 2 665 | набор скиллов Google от модели угроз до патча, без собственных сканеров секретов и зависимостей |
Коротко о README
Установка идет через маркетплейс командами `claude plugin`, а отдельная страница описывает загрузку плагина без установки через `--plugin-dir`. Рядом лежат документы по каждому сканеру, жизненному циклу скана и архитектуре, а также руководство для участников проекта.