HackenProof Skills — плагин
Маркетплейс плагинов для Claude Code: разбор отчетов об уязвимостях EVM-контрактов, оценка PoC и проверка исправлений.
- 52 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Часть плагинов ходит в API платформы баг-баунти через MCP-сервер с вашим доступом.
- Плагины читают отчеты об уязвимостях и локальный код, а часть выгружает отчеты программы в файлы.
Установка
- Работает в
Ручная установка
/plugin marketplace add hackenproof-public/skillsЗатем `/plugin install hackenproof-fix-verifier@hackenproof-skills` или другой плагин набора.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Часть плагинов ходит в API платформы баг-баунти через MCP-сервер с вашим доступом.
- Плагины читают отчеты об уязвимостях и локальный код, а часть выгружает отчеты программы в файлы.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Репозиторий публикует десять плагинов команды триажа HackenProof. Три работают без аккаунта на любом отчете или коде: `hackenproof-fix-verifier` проверяет, закрывает ли патч уязвимость и не вносит ли новые, `hackenproof-report-quality-scorer` ставит отчету от 0 до 8 баллов, `hackenproof-poc-grader` оценивает доказательство эксплуатации. Остальные подключаются к API HackenProof через их MCP-сервер и нужны участникам программ: полный триаж одного отчета, пакетный триаж, экспорт отчетов в Markdown, JSON или CSV, сводки для клиента, шаблоны комментариев при закрытии. Пример `examples/solidity-reentrancy` показывает, как проверка исправления находит неполный патч с межфункциональной реентерабельностью.
Для кого. Аудиторам смарт-контрактов и командам триажа баг-баунти, которые разбирают отчеты об уязвимостях Ethereum и EVM.
Подходит, если
- Пришел отчет без воспроизведения, и `hackenproof-report-quality-scorer` показывает, чего в нем не хватает.
- Разработчик прислал патч для найденной уязвимости, а `hackenproof-fix-verifier` проверяет его по реентерабельности, правам доступа, арифметике и обновлениям.
- К отчету приложен PoC, и `hackenproof-poc-grader` относит его к одному из пяти уровней, от Verified до Invalid.
- Нужно выгрузить все отчеты программы в CSV для разбора.
- Организации нужно раздать плагин всем сотрудникам через управляемые настройки Claude Code.
Не подходит, если
- Нужен аудит кода с поиском новых уязвимостей: плагины разбирают готовые отчеты и патчи.
- Контракты не на Solidity или не в EVM-сети: проверки заточены под них.
- Нет доступа к программе HackenProof, а нужны функции API: шесть плагинов требуют его.
Пример запроса к агенту
Проверь, закрывает ли патч из `fix.diff` реентерабельность из отчета `report.md`, и оцени отчет по шкале от 0 до 8.Ограничения
Часть плагинов вызывает API HackenProof через MCP-сервер и работает только при доступе к программе. Три автономных плагина используют рубрики серьезности HackenProof, но на инфраструктуру платформы не опираются. Проверки заточены под Solidity и EVM. Агент выдает рекомендации по триажу, а решение об оценке и закрытии отчета остается за человеком. Автономные плагины не отправляют ничего на платформу. Последний коммит был в октябре 2026 года.
Как отключить. Отключите плагин командой `/plugin` в Claude Code или уберите запись из `enabledPlugins` и `extraKnownMarketplaces` в `.claude/settings.json`.
Частые вопросы
Нужен ли аккаунт HackenProof?
Для трех плагинов нет: `hackenproof-fix-verifier`, `hackenproof-report-quality-scorer`, `hackenproof-poc-grader`. Остальные обращаются к API платформы через MCP-сервер.
Как добавить маркетплейс?
В `/plugin` на вкладке Marketplaces добавьте `hackenproof-public/skills` и поставьте нужный плагин. Для проекта то же задается в `.claude/settings.json` через `extraKnownMarketplaces`.
Какие уровни у оценки PoC?
Verified, Plausible, Weak, Invalid и Out of Scope Evidence. Вложения скилл берет через MCP, а без него просит вставить или описать доказательство.
Работают ли скиллы в других агентах?
Каждый скилл лежит как обычный `SKILL.md` с файлами справки в `plugins/<плагин>/skills/<скилл>/`, и агенты формата Agent Skills могут загрузить его напрямую.
Что проверяет fix-verifier?
Закрыт ли заявленный дефект и не добавлены ли новые. Для Solidity проверяются реентерабельность, права доступа, арифметика, раскладка хранилища и обновления.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныПлагин для Claude Code, который помогает писать отчеты для багбаунти только по проверенным фактам, без выдумок
Маркетплейс Claude Code от Trail of Bits: 29 плагинов, хуки и скрипты каждого проверены построчно, от фаззинга и Ghidra до документов
Скиллы Trail of Bits
Trail of Bits Skills Marketplace
Маркетплейс плагинов Trail of Bits для аудита безопасности: смарт-контракты, C/C++ и Rust, Semgrep, CodeQL, фаззинг
Набор навыков по аудиту смарт-контрактов: классы багов, grep-шаблоны, PoC на Foundry и формат отчета для Immunefi.
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Каталог из 22 плагинов с хуками для Claude Code: безопасность, контроль расходов, наблюдаемость и автоматизация
Коротко о README
Маркетплейс из десяти плагинов для разбора отчетов об уязвимостях. Три работают автономно, остальные требуют доступа к HackenProof через MCP.