PYA — плагин
PYA запускает девять агентов-проверяющих по коду в Claude Code и выдает оценку безопасности от 0 до 100 со списком исправлений.
- 279 ★ репозитория
- Последний коммит
- MIT
Минимальный доступ
Почему такой уровень
- Агенты только читают код и ничего не запускают и не меняют.
- Оценка не заменяет проверку специалистом и может содержать ложные находки.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/pyaОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемМинимальный доступИнструмент ничего не запускает и не ходит в сеть.
- Агенты только читают код и ничего не запускают и не меняют.
- Оценка не заменяет проверку специалистом и может содержать ложные находки.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
PYA, Protect Your Ass, — плагин аудита безопасности для Claude Code. Команда `/pya` запускает девять специалистов одновременно: поиск уязвимостей OWASP Top 10:2025, проверка авторизации, секретов, зависимостей и вредоносных пакетов, инфраструктуры как кода, бизнес-логики, агентских конфигураций с MCP и хуками и кода, написанного ИИ. Отдельный верификатор перепроверяет каждую серьезную находку. Отчет содержит оценку от 0 до 100 и список исправлений в нужном порядке. Агенты только читают код, ничего не запускают и не ставят и не выходят в сеть без просьбы. Режимы `--scope quick` и `--focus`, а также `--compliance` для PCI, HIPAA, SOC 2, GDPR и CRA.
Для кого. Разработчикам и небольшим командам без выделенного специалиста по безопасности, которым нужен быстрый аудит репозитория перед релизом.
Подходит, если
- Перед выпуском надо проверить SQL-инъекции, XSS и ошибки проверки прав.
- В коде подозреваются ключи и пароли, попавшие в конфиги и логи.
- Зависимости обновлялись, и надо найти вредоносные версии пакетов.
- Проект принимает код от ИИ, и конфигурации хуков и MCP требуют ревью.
- Нужна карта находок под PCI DSS или GDPR.
Не подходит, если
- Нужен динамический тест на запущенном сервисе: агенты читают код и ничего не исполняют.
- Требуется заключение аудитора для сертификации, оценка плагина его не заменяет.
- Нужен наступательный тест на проникновение.
Пример запроса к агенту
Запусти /pya --scope quick для этого репозитория и покажи оценку и три главные находки с порядком исправления.Ограничения
Плагин статический: агенты читают код и не запускают его, поэтому ошибки среды выполнения и конфигурации сервера он не увидит. Оценка от 0 до 100 помогает расставить приоритеты, но не гарантирует безопасность и не заменяет специалиста. Перечень вредоносных пакетов берется из датированной ленты, ее свежесть указана в отчете, вне сети она может отставать. Для работы нужен Claude Code 2.1.275 или новее. Находки ИИ-ревью бывают ложными, верификатор снижает их число, но не убирает.
Как отключить. Удалите плагин командой `/plugin` либо `claude plugin uninstall pya@pya`. Отчеты аудита в проекте удалите отдельно.
Частые вопросы
Что проверяет плагин?
Уязвимости OWASP, авторизацию, секреты, цепочку поставок, инфраструктуру как код, бизнес-логику, конфигурации агентов с MCP и код от ИИ.
Запускает ли он мой код?
Нет. Агенты только читают код, ничего не ставят и остаются без сети, пока вы не попросите.
Как выбрать область?
`/pya --scope quick` проверяет код, авторизацию, секреты, зависимости и угрозы, `/pya --focus <агент>` запускает одного специалиста на полную глубину.
Есть ли отчеты по стандартам?
Да, `--compliance pci` сопоставляет находки с PCI DSS 4.0.1, также доступны `hipaa`, `soc2`, `gdpr` и `cra`.
Платный ли плагин?
Нет. Лицензия MIT, без учетных записей, лимитов использования и сбора данных. Расходы идут на ваш доступ к Claude.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныПлагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Офлайн-сканер безопасности кода и зависимостей с плагином и MCP: 132 правила, находки с доказательством в file:line.
Набор из полусотни субагентов Claude Code для авторизованного пентеста: планирование, разведка, поиск и цепочки эксплойтов, пост-эксплуатация, детект и отчеты
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Prowler — плагин для Claude Code
Prowler for Claude Code
Плагин ведет облачный аккаунт к соответствию CIS, PCI-DSS и другим стандартам: берет отчет Prowler Cloud, чинит нарушения и предлагает повторный скан
Коротко о README
В README описаны установка, демонстрация отчета на враждебном репозитории, девять агентов с весами, ход аудита, команды и FAQ. Лицензия MIT.