Threat Model Generator — плагин
Скиллы собирают модель угроз открытого проекта: что он обещает и от чего отказывается. Документ-контракт, не сканер
- 61 ★ репозитория
- Последний коммит
- MIT
Минимальный доступ
Почему такой уровень
- Скиллы читают код и документацию проекта и пишут текстовую модель угроз, не запуская сканирование.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/threat-model-generatorОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемМинимальный доступИнструмент ничего не запускает и не ходит в сеть.
- Скиллы читают код и документацию проекта и пишут текстовую модель угроз, не запуская сканирование.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
`Threat Model Generator` — набор скиллов для составления модели угроз открытого проекта: оркестратор `threat-model` и самостоятельные специалисты (разведка, интервью, поверхность атаки, авторинг, сопровождение, сверка с прошлыми отчетами, разбор). На выходе документ о неявном соглашении по безопасности между проектом и пользователями: какие допущения о среде и входных данных сделаны, какие свойства заявлены, какие явно не гарантируются и что остается на интеграторе. Документ полезен двум читателям: интегратору, решающему, за что он теперь отвечает, и мейнтейнеру, который решает, относится ли входящий отчет об уязвимости к модели. По умолчанию скилл работает черновиком: каждое утверждение помечено как документированное, от мейнтейнера или выведенное, а вопросы к мейнтейнерам собраны внутри модели.
Для кого. Мейнтейнерам открытых проектов и разбирающим отчеты об уязвимостях, которым нужен письменный договор о границах безопасности.
Подходит, если
- Для библиотеки пишут раздел `SECURITY.md` о том, что входит в модель угроз
- Входящий отчет об уязвимости нужно сопоставить с моделью: внутри модели, вне модели или по замыслу
- Интегратор хочет понять, за какие угрозы он отвечает при подключении проекта
- Модель проверяют на прошлых отчетах скиллом `threat-model-backtest`
Не подходит, если
- Нужен поиск уязвимостей в коде: проект не сканер и не аудит
- У проекта нет ни кода, ни документации, из которых можно что-то вывести
- Требуется формальная сертификация безопасности
Пример запроса к агенту
Составь модель угроз для этого проекта в режиме черновика, пометь каждое утверждение и собери вопросы к мейнтейнерам.Ограничения
Результат содержит допущения и границы и не содержит списка уязвимостей. Утверждения со статусом «выведено» остаются гипотезами, пока мейнтейнеры не ответят на волну вопросов внутри модели. Специалисты используют общие справочники из `threat-model/references/` по относительным путям, поэтому папки скиллов хранят рядом. Для пакетной работы в CI есть `new_threat_model.py`: он клонирует целевой репозиторий и ставит скиллы в его копию. На другие агенты скиллы переносят копированием каталога.
Как отключить. В Claude Code выполните `/plugin uninstall threat-model`. Копии скиллов в `.claude/skills/` и готовые модели угроз удаляйте отдельно.
Частые вопросы
Как установить?
В Claude Code: `/plugin marketplace add alpha-omega-security/threat-model`, затем `/plugin install threat-model@threat-model`. Для других агентов скопируйте каталог `skills/`.
Что на выходе?
Документ о договоре по безопасности: допущения, заявленные и отклоненные свойства и угрозы, оставленные интегратору. Открытые вопросы лежат в разделе 1.18 самой модели.
Ищет ли он уязвимости?
Нет, находок он не выдает. Это инструмент для границ ответственности и для разбора входящих отчетов.
Можно ли вызвать специалиста отдельно?
Да, каждый навык самостоятелен, например `threat-model-triage` для оценки отчета или `threat-model-recon` для разведки по коду.
С чего начать новичку в моделировании угроз?
Откройте глоссарий `skills/threat-model/references/glossary.md`: там простыми словами объяснены термины вроде «отклоняемое свойство» и «приемник».
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСкилл моделирования угроз: агент читает код проекта и строит модель угроз со ссылками на файлы и строки
CLI, который читает код проекта и составляет модель угроз по методике STRIDE с отчетом в Markdown, JSON, SARIF или HTML
MCP-сервер AWS Labs ведет агента через моделирование угроз по STRIDE в фазах: контекст, архитектура, угрозы, меры, проверка кода.
Скилл для Claude Code ищет уязвимости в одной сессии: модель угроз, проверка находок, отчет с CWE и CVSS без внешнего сканера.
VibeSec
VibeSec-Skill
Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Коротко о README
Документация описывает цель документа, установку, вызов оркестратора и спецификаций, режим черновика с вопросами к мейнтейнерам и пакетный запуск для CI. Рядом лежит глоссарий для тех, кто впервые встречает модели угроз.