Orca Skills — плагин
Официальный набор Orca Security: 20 навыков по облачной безопасности через MCP и плагин, исправляющий находки пулл-запросами.
- 59 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- Токен открывает данные об облачной среде, а плагин исправлений меняет код и создает пулл-запросы от вашего имени.
Установка
- Работает в
Ручная установка
/plugin marketplace add orcasecurity/orca-skillsЗатем `claude plugin install orca-skills@orcasecurity`; плагин исправлений `security-engineer@orcasecurity` ставится отдельно.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Токен открывает данные об облачной среде, а плагин исправлений меняет код и создает пулл-запросы от вашего имени.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Репозиторий содержит два плагина для Claude Code, Codex и Cursor. `orca-skills` дает 20 навыков, которые отвечают на вопросы об облачной безопасности через сервер Orca MCP: что это за алерт, что закроется при исправлении, кто и как развернул ресурс, что случилось за ночь, где провалена проверка на соответствие. Навык `orca-code-scanner` проверяет только что измененный код локально через Orca CLI и MCP не требует. Второй плагин, `security-engineer`, работает автономно: он исправляет находки Orca в исходном коде и открывает по одному пулл-запросу на исправление. Он не использует MCP, читает данные по API и ждет токен в переменной `ORCA_API_TOKEN`. Плагины ставятся раздельно, и установка первого не тянет второй.
Для кого. Командам безопасности и платформенным инженерам, у которых облака защищает Orca и которые хотят разбирать алерты и исправления из окна агента.
Подходит, если
- Утром надо понять, что произошло за ночь и что требует внимания.
- Перед исправлением алерта важно увидеть, какие еще находки закроются и что может сломаться.
- Для проверки на соответствие стандарту нужен список провалов и самый быстрый путь к улучшению.
- Только что написанный код проверяют Orca CLI до коммита.
Не подходит, если
- У организации нет учетной записи Orca Security.
- Агенту нельзя выдавать токен с доступом к данным об облачной среде.
- Автономные исправления с пулл-запросами недопустимы: тогда ставят только `orca-skills`.
Пример запроса к агенту
Разбери этот алерт Orca: что он значит, какие находки закроются после исправления и что может сломаться.Ограничения
Нужен аккаунт Orca и подключенный сервер Orca MCP по OAuth2 либо по токену API в заголовке. Плагин `security-engineer` требует Python 3.10 или новее, авторизованный `gh`, переменную `ORCA_API_TOKEN` и доступ к OSV.dev и deps.dev, а для Codex он не предназначен, там работает только `orca-skills`. Навык `orca-code-scanner` требует отдельный Orca CLI. Токен в `.mcp.json` не стоит хранить в репозитории.
Как отключить. Выполните `claude plugin uninstall orca-skills@orcasecurity` и `claude plugin uninstall security-engineer@orcasecurity`, затем удалите запись `orca-security` из `.mcp.json` и отзовите токен в консоли Orca.
Частые вопросы
Как поставить Orca Skills в Claude Code?
Выполните `/plugin marketplace add orcasecurity/orca-skills`, потом `claude plugin install orca-skills@orcasecurity`. После этого подключите сервер Orca MCP в `.mcp.json`.
Как поставить для Codex?
Команды `codex plugin marketplace add orcasecurity/orca-skills` и `codex plugin add orca-skills --marketplace orcasecurity`. Сервер добавляют через `codex mcp add orca-security --url https://mcp.orcasecurity.io`.
Чем отличаются два плагина?
`orca-skills` читает и объясняет состояние облака, а `security-engineer` меняет код в репозиториях и открывает пулл-запросы. У них разные требования и разная авторизация.
Какие способы входа поддерживает MCP?
OAuth2 по адресу `https://mcp.orcasecurity.io` и токен API через заголовок `Authorization` по адресу `https://api.orcasecurity.io/mcp`, удобный для автоматизаций.
Работает ли код-сканер без MCP?
Да. `orca-code-scanner` запускает локально Orca CLI и проверяет изменения без сервера Orca MCP.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныПлагин AppSec для Claude Code: сканеры секретов, зависимостей и кода плюс скиллы, которые проверяют находки на реальность
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Плагин с 88 скиллами по безопасности Microsoft: Defender, Sentinel, Entra, Purview и Intune для Copilot, Claude Code и Cursor.
Открытый набор плагинов Claude Code для комплаенса: находки из облаков и SaaS, отчеты о пробелах, OSCAL
Плагин Claude Code проверяет промпты, вызовы инструментов и документы на инъекции и утечки, вердикт BLOCK, CHALLENGE или ALLOW
Коротко о README
Репозиторий выступает как маркетплейс с двумя плагинами. Навыки разбиты по вопросам, на которые отвечает каждый: от разбора алерта до сводки по состоянию аккаунта и доступам.