Phoenix Security Skills — плагин
Шесть плагинов Claude Code от Phoenix Security: ревью безопасности, проверки готовности, правила SAST, поиск угроз и PRD.
- 84 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Скиллы читают весь репозиторий, а `tm-security-review` готовит работающее доказательство уязвимости
- Скилл NotebookLM управляет браузером и хранит вход в учетную запись Google
- Поисковый CLI отправляет запросы внешним сервисам по вашему ключу
Установка
- Работает в
Ручная установка
/plugin marketplace add Security-Phoenix-demo/security-skills-claude-codeПосле добавления маркетплейса ставьте плагины по одному, например `/plugin install phoenix-security-review@phoenix-security`.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Скиллы читают весь репозиторий, а `tm-security-review` готовит работающее доказательство уязвимости
- Скилл NotebookLM управляет браузером и хранит вход в учетную запись Google
- Поисковый CLI отправляет запросы внешним сервисам по вашему ключу
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Репозиторий служит маркетплейсом из шести плагинов и 27 скиллов для безопасности разработки. `phoenix-security-review` объединяет проверку перед слиянием, обход всего репозитория по OWASP Top 10 и ASVS первого уровня, анализ изменений на неизвестные уязвимости и модель угроз STRIDE и DREAD. `phoenix-readiness-reviews` дает два вердикта: план готов или не готов, код можно выпускать или нельзя. Перед вторым запускается детерминированный сканер репозитория. Далее `phoenix-sast-rules` пишет правила для opengrep и semgrep на 30 с лишним языках, `phoenix-cti-search` ищет по 595 источникам об угрозах, `phoenix-prd-pipeline` ведет требования через 12 ролей от очистки контекста до решения о выпуске, а `phoenix-docs-research` генерирует документацию проекта и опрашивает NotebookLM. Каждый скилл доступен и как слэш-команда с тем же именем.
Для кого. Командам AppSec и DevSecOps, которые хотят встроить ревью безопасности, модели угроз и проверку готовности прямо в Claude Code.
Подходит, если
- Перед слиянием надо пройти изменения восьмью проверками для Python, TypeScript, Go, Java, Rust, Ruby или .NET
- Для новой функции требуется модель угроз и список сценариев злоупотребления до начала разработки
- Известна уязвимость класса CWE, и по ней нужно написать правила для semgrep или opengrep с тестами
- Спецификацию перед стартом хочется проверить: могла бы другая команда построить продукт без домыслов
- Нужно собрать сведения об атаке из специализированных источников и сложить их в блокнот NotebookLM
Не подходит, если
- Нужен непрерывный сканер зависимостей и секретов в CI: плагины работают по запросу в сессии Claude Code
- Требуется формальный аудит с подписью: вердикты скиллов подсказывают, а не заменяют специалиста
- Нужна работа без интернета: поиск по угрозам и NotebookLM ходят во внешние сервисы
Пример запроса к агенту
Проведи `/security-review` по моим изменениям в ветке, затем построй модель угроз для нового эндпоинта оплаты.Ограничения
Все плагины рассчитаны на Claude Code. Для поискового CLI и сервера MCP нужны Node 18 или новее и ключ Brave Search либо SerpAPI. Скилл `notebooklm` управляет браузером и хранит вход в учетную запись Google, а у `phoenix-security-review` есть три необязательных хука, которые включают отдельно. Скилл `tm-security-review` по замыслу собирает работающее доказательство уязвимости, поэтому запускайте его только на своем коде. В `phoenix-readiness-reviews` проценты всегда приходят с числом проверенных пунктов, а непроверяемое помечается отдельно.
Как отключить. Удалите ненужные плагины командой `/plugin uninstall <имя>@phoenix-security`, а маркетплейс уберите через `/plugin marketplace remove`. Вход Google, сохраненный скиллом `notebooklm`, очистите отдельно.
Частые вопросы
Как поставить плагины Phoenix Security?
Добавьте маркетплейс командой `/plugin marketplace add Security-Phoenix-demo/security-skills-claude-code` и ставьте плагины по одному: `/plugin install phoenix-security-review@phoenix-security`. Каждый плагин работает отдельно от остальных.
Чем отличаются проверки готовности?
`plan-readiness-review` оценивает PRD, спецификацию или RFC и выдает вердикт READY или NOT READY. `production-readiness-review` смотрит репозиторий и ветку против плана и отвечает SHIP или NO-SHIP.
Нужен ли ключ для поиска по угрозам?
Сам скилл `cti-domain-research` работает без ключа. Встроенному CLI на Node и серверу MCP нужен ключ Brave Search или SerpAPI.
Сколько ролей в конвейере PRD?
Двенадцать: от чистки контекста и границ задачи до матрицы проверок, плана поставки и итогового решения SHIP или NO_SHIP. Все роли лежат в плагине `phoenix-prd-pipeline`.
Какие правила SAST можно получить?
`opengrep-rule-generator` пишет поисковые правила и правила потока данных для 30 с лишним языков. Вариант с суффиксом `-research` сначала изучает CVE или CWE в сети, затем готовит правила.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныПлагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Скиллы Trail of Bits
Trail of Bits Skills Marketplace
Маркетплейс плагинов Trail of Bits для аудита безопасности: смарт-контракты, C/C++ и Rust, Semgrep, CodeQL, фаззинг
Скилл для проверки кода на уязвимости по OWASP Top 10:2025, ASVS 5.0 и спискам уязвимостей для LLM и ИИ-агентов 2026 года
Навык проверки безопасности по OWASP Top 10, CWE и CVSS с глубоким сканированием PHP и TYPO3 по 80 с лишним контрольным точкам.
Десять скиллов пентеста для Claude Code и Gemini CLI: разведка, SQL-инъекции, XSS, LFI и отчет по запросам обычными словами
Скилл для Claude Code ищет уязвимости в одной сессии: модель угроз, проверка находок, отчет с CWE и CVSS без внешнего сканера.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| Phoenix Security Skills (эта карточка) | да | 84 | |
| Скиллы Trail of Bits | нет | 8 165 | маркетплейс Trail of Bits: смарт-контракты, C/C++ и Rust, больше упор на аудит кода |
| Semgrep Skills | да | 342 | три скилла Semgrep для безопасного кода и LLM-приложений без моделей угроз и PRD |
| STRIDE GPT | нет | 1 154 | CLI, который строит модель угроз STRIDE по коду проекта |
Коротко о README
Страница открывается командами установки, затем описывает два новых скилла проверки готовности, таблицу из шести плагинов и всех 27 скиллов. Далее идут разделы по каждому направлению: поиск по источникам об угрозах, NotebookLM, конвейер исследований, генератор PRD, правила SAST, документация проекта и набор оценки безопасности.