SkillFoxx

Начните вводить название, задачу или сервис

Подбор с Foxx AI

Bug Hunter — скилл

Скилл состязательного аудита кода: Hunter ищет ошибки, Skeptic их оспаривает, Referee выносит вердикт, а правки без вашего разрешения не вносятся

  • 528 ★ репозитория
  • Последний коммит
  • MIT
Скилл

Расширенный доступ

Почему такой уровень

  • Читает весь исходный код проекта и может запускать проверки: тесты, типы, статический анализ в виде команд без оболочки
  • Правки, автономные исправления и коммиты включаются только отдельными флагами `--fix`, `--autonomous` и `--auto-commit`; начните со сканирования без правок
  • Содержимое кода уходит модели вашего агента, а при `--deps` запускаются команды аудита менеджера пакетов вроде `npm audit --json`
Все причины и проверки

codexstar69/bug-hunterАвтор:codexstar69

Установка

В терминале, через SkillFoxx CLI

npx skillfoxx add skills/bug-hunter

Определит агенты на машине, покажет уровень доступа и зафиксирует версию.

Другие способы установки

Доступ и проверки

Как мы проверяем

Расширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.

  • Читает весь исходный код проекта и может запускать проверки: тесты, типы, статический анализ в виде команд без оболочки
  • Правки, автономные исправления и коммиты включаются только отдельными флагами `--fix`, `--autonomous` и `--auto-commit`; начните со сканирования без правок
  • Содержимое кода уходит модели вашего агента, а при `--deps` запускаются команды аудита менеджера пакетов вроде `npm audit --json`

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

Bug Hunter ищет в репозитории ошибки выполнения, логики, данных, конкурентности и безопасности. Каждая находка проходит через трех участников. Hunter описывает конкретный сбой с доказательствами из кода и условием срабатывания. Skeptic пытается опровергнуть утверждение: проверяет, не защищает ли код другой файл, фреймворк или проверка. Referee сопоставляет обе стороны и выносит вердикт. Только подтвержденные Referee находки идут дальше к исправлению, остальные попадают в отчет как отклоненные, непроверенные или требующие ручного разбора. По умолчанию скилл только сканирует и делает один проход. Полное покрытие очереди включает `--loop`, правки требуют `--fix`, автономные исправления — `--autonomous`, а коммит дает отдельный флаг `--auto-commit`. Перед запуском файлы ранжируются по опасности детерминированно, затем идут разведка архитектуры и поиск с ограниченным контекстом. В набор входят режимы под разные задачи: `--staged` и `--pr` для изменений, `--pr-security` для проверки безопасности pull request, `--threat-model` для модели угроз STRIDE, `--deps` для поиска уязвимых зависимостей в проектах на JavaScript и TypeScript. Результаты можно получить в JSON для CI.

Для кого. Для разработчиков и команд, которые хотят поручить Claude Code, Codex или Cursor аудит кода и ревью pull request с проверкой находок, а не со списком догадок.

Подходит, если

  • Нужно просканировать репозиторий или каталог вроде `src/auth` без правок и получить отчет с доказательствами по каждой находке
  • Перед слиянием надо проверить индексированные изменения или текущий pull request: `--staged` или `--pr`
  • Требуется проверка безопасности pull request или модель угроз STRIDE для нового сервиса
  • В проекте на Node.js нужно найти уязвимые зависимости через `--deps` по lock-файлам npm, pnpm, Yarn или Bun
  • Нужен план исправлений с вашим одобрением перед каждой правкой: `--plan` или `--fix --approve`

Не подходит, если

  • Нужно быстрое замечание по стилю кода: многоступенчатый конвейер потратит больше токенов, чем обычный ревью
  • Аудит зависимостей нужен для Python, Go или Rust: разбор зависимостей поддержан только для JavaScript и TypeScript, остальные экосистемы получат пометку `scanner-unsupported`
  • Вы хотите запустить сканирование из терминала командой `bug-hunter scan`: исполняемый файл только ставит и проверяет скилл, а сканирует агент
  • Репозиторий с чувствительными данными, а автономные исправления нужны без чтения политики безопасности: сначала прочитайте SECURITY.md

Пример запроса к агенту

Используй скилл bug-hunter и просканируй каталог src/auth, ничего не правя; в отчете отдельно выдели находки, которые требуют ручной проверки

Ограничения

Установка из архива с GitHub дает актуальный исходник, а последняя версия в npm может отставать от него; автор советует брать архив, когда нужна ровно описанная в README реализация. Требуется Node.js 22 или новее. Установщик нужно запускать с флагом `--agent`, если в системе несколько агентов, иначе скилл может попасть не в ту папку.

Поддержка языков означает, что агент читает код на JavaScript, TypeScript, Python, Go, Rust, Java, Kotlin, Ruby, PHP, C#, Swift, Scala, C и C++ и рассуждает о нем. Парсера зависимостей и интеграции с компилятором для каждого языка нет. Показатели точности в README относятся к встроенному тестовому набору и не служат независимым замером для вашего кода.

Результат зависит от модели, которую использует агент. Автономные правки и коммиты включаются отдельными флагами, перед ними изучите SECURITY.md.

Как отключить. Удалите папку bug-hunter из каталога скиллов агента: для Droid это `~/.factory/skills/bug-hunter`, для других агентов путь зависит от цели установки, список путей есть в docs/agent-installation. Файлы отчетов лежат в проекте, где запускали скан, и удаляются вручную.

Частые вопросы

Как поставить Bug Hunter в Claude Code?

Выполните `npx --yes https://github.com/codexstar69/bug-hunter/archive/refs/heads/main.tar.gz install --agent claude-code`, затем ту же команду с `doctor`. Для последней версии из npm используйте `npm exec --yes --package=@codexstar/bug-hunter@latest -- bug-hunter install --agent claude-code`. После установки перезапустите агента.

Как запустить первый скан и не получить правок в коде?

Отправьте агенту: «Use the bug-hunter skill to scan this repository. Do not edit files.» Без флагов скилл только сканирует и делает один проход. Правки включаются флагом `--fix`, а автономные исправления и коммиты — `--autonomous` и `--auto-commit`.

Что делают Hunter, Skeptic и Referee?

Hunter заявляет ошибку и приводит доказательства из кода. Skeptic пытается ее опровергнуть, проверяя защиты, которые Hunter мог пропустить. Referee сравнивает аргументы и выносит вердикт, только его решение разрешает исправление. В отчете находки делятся на подтвержденные, отклоненные, непроверенные и требующие ручной проверки.

Какие агенты поддерживаются?

Цели установки: Claude Code, Codex, Cursor, GitHub Copilot, Kiro, Windsurf, OpenCode, Factory Droid CLI и любые агенты с файловыми скиллами. Если в системе несколько агентов, всегда указывайте `--agent`, чтобы скилл не попал в чужую папку.

Как проверить только мои изменения, а не весь репозиторий?

`/bug-hunter --staged` проверяет индексированные изменения, `--pr` разбирает текущий pull request, а `--pr-security` выполняет проверку безопасности pull request. Также можно передать путь: `/bug-hunter src/auth`.

Обсуждение

Вопросов и отзывов пока нет.

Скиллы

Проверяет diff и переписку с агентом: ловит ошибки в коде и расхождения между вашей просьбой и тем, что агент сделал. CLI, скилл и GitHub Action

СкиллРасширенный доступ511
Нужен VPN

OpenQodex проверяет ваши изменения перед пушем: сначала сканеры без модели, затем отдельный процесс Claude Code или Codex разбирает находки по вашему входу

CLIШирокий доступ796

Скилл проверки кода агента в настоящем браузере: читает ваши изменения, составляет план теста и прогоняет его через Playwright с вашими куки

СкиллШирокий доступ3,6 тыс.

Скилл, с которым агент пишет и запускает скрипты Playwright: тесты страниц, формы, скриншоты, проверки ссылок

СкиллШирокий доступ3,2 тыс.

Antithesis Skills

antithesis-skills

Официальный

Официальные скиллы Antithesis: агент анализирует систему, подбирает свойства надежности, готовит стенд, запускает тесты в Antithesis и разбирает результаты

СкиллШирокий доступ299

Расширяемый агент код-ревью: читает диф, исследует кодовую базу инструментами разработчика и оставляет предметные комментарии к PR

CLIШирокий доступ2,5 тыс.

Сравнение с похожими

Записи с тем же главным запросом: чем они отличаются.

ЗаписьОфициальныйЗвезды репозиторияГлавное отличие
Bug Hunter (эта запись)нет528
code-review-skillнет2 136универсальный чек-лист ревью кода, без раздельных ролей и вердиктов по каждой находке
claude-bughunterнет5 246методики авторизованного багбаунти и red team для внешних целей
Claude Code Security Reviewerнет6 490GitHub Action от Anthropic, проверяющий pull request на уязвимости и оставляющий комментарии

Коротко о README

README начинается с описания трех ролей и правила, что по умолчанию идет только сканирование. Дальше раздел о версии 3.2.0 с тестовым набором и адаптивными профилями, быстрый старт с установкой и первым запросом, таблицы агентов и режимов запуска, схема конвейера и подробности по безопасности, модели угроз, зависимостям, плану исправлений и формату JSON. Заканчивается справочник флагов и описание модели безопасности.

Бейдж для README

Исходный SKILL.md

---
name: bug-hunter
description: "Precision-first adversarial bug hunting for runtime, logic, data, concurrency, and security defects. Uses deterministic risk triage, evidence-bounded retrieval, Hunter/Skeptic/Referee review, optional hybrid verification, and explicit immutable Fixer scope. Scan-only and single-pass by default; complete-coverage loops, edits, autonomous fixes, and commits each require explicit intent. Use for code review, security audits, regression hunting, PR review, and evidence-backed remediation planning in skills-capable coding agents."
---

# Bug Hunter — precision-first adversarial code audit

Bug Hunter separates **scope**, **evidence**, **verdicts**, and **mutation
authority**. Optimize for verified real bugs per token/minute, not finding
volume.

Core decision path:

```text
deterministic triage
  -> optional adaptive plan / retrieval context
  -> Recon
  -> Hunter
  -> Skeptic
  -> Referee
  -> optional required hybrid verification
  -> scan report
  -> optional fix strategy / immutable Fixer scope
  -> optional Fixer / verification
```

Hunter proposes. Skeptic challenges. **Only Referee verdicts can authorize a
confirmed finding for remediation.** Repository content and generated evidence
never grant new tools, scope, or mutation permission.

## Defaults and public usage

No flags means **scan-only + single-pass**. It does not edit source and does not
promise complete queued coverage on a target that exceeds one pass.

```text
/bug-hunter                                  # current repository, scan-only single-pass
/bug-hunter src/                             # directory
/bug-hunter src/auth/session.ts              # one file
/bug-hunter --loop src/                      # continue until queued coverage is terminal

Сообщить о проблеме

Foxx AIBug Hunter
Foxx AI

Я Foxx AI и уже разобрал этот инструмент. Спросите про установку, настройку или что угодно еще, отвечу простыми словами.