Defending Code Reference Harness — скилл

Эталонный набор Anthropic для защиты кода: скиллы threat-model, vuln-scan, triage и patch в Claude Code и автономный конвейер поиска уязвимостей

7 625 ★ репозитория
Последний коммит 6 авг. 2026

Скилл ОфициальныйНужен VPN

anthropics/defending-code-reference-harnessАвтор:Anthropic

Установка

Работает в: Claude Code
Koda
Coddy

В терминале, через SkillFoxx CLI

npx skillfoxx add skills/defending-code-reference-harness

Определит агенты на машине, покажет уровень доступа и зафиксирует версию.

Другие способы установки

Доступ и проверки

Как мы проверяем

Широкий доступИнструмент может менять данные, выполнять команды или работать с секретами.

Автономные конвейеры исполняют код проверяемой цели и требуют песочницы gVisor
Скилл `customize` правит код конвейера и запускает проверочные команды
Скиллы работают с кодом и находками уязвимостей, то есть с чувствительными данными проекта

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

Репозиторий показывает, как строить поиск и исправление уязвимостей с Claude. Интерактивные скиллы Claude Code работают с файлами: `quickstart` ведет первый запуск на учебной цели, `threat-model` готовит модель угроз, `vuln-scan` ищет уязвимости, `triage` разбирает находки, `patch` предлагает исправления, а `customize` переносит конвейер на ваш язык и класс ошибок. Отдельный автономный конвейер проходит цепочку разведка, поиск, проверка, отчет и исправление; в справочном виде он рассчитан на ошибки памяти в C и C++ с Docker и ASAN. Есть и линия обнаружения и реагирования: скиллы `dnr-hunt` и `dnr-respond` ищут следы атакующего в журналах и предлагают меры.

Для кого. Для команд безопасности и разработчиков, которые хотят собрать собственный конвейер поиска уязвимостей на Claude Code или API Claude.

Подходит, если

Нужно собрать модель угроз для проекта и сократить ложные срабатывания сканера
Есть список находок, и их надо отсортировать и подтвердить
Хотите за день пройти путь от первой находки до исправления на учебной цели canary
Нужно перенести конвейер с C и C++ на Java или другой язык командой `customize`
Подозреваете атакующего в журналах и хотите прогнать охоту скиллом `dnr-hunt`

Не подходит, если

Нужен управляемый сервис: у Anthropic для этого есть Claude Security
Нужен поддерживаемый продукт: авторы пишут, что репозиторий не поддерживается и не принимает правки
Нельзя запускать код цели: автономные конвейеры исполняют код проекта и отказываются работать вне песочницы gVisor
Нужен сканер, который работает из коробки на любом проекте: конвейер служит эталоном

Пример запроса к агенту

/`quickstart` как перенести конвейер на Java

Ограничения

Репозиторий не поддерживается и не принимает вклад, лицензия в метаданных не указана. Конвейер служит справочным образцом и не заработает на любой кодовой базе без команды `customize`. Автономные конвейеры `vuln-pipeline` и `dnr-pipeline` исполняют код цели, поэтому запускаются только в песочнице gVisor через bin/`vp-sandboxed` после однократной настройки скриптом setup_sandbox.sh. Интерактивные скиллы только читают и пишут файлы, а `customize` правит код и выполняет проверочные команды. Для работы нужен доступ к Claude, включая Bedrock, Vertex или Azure.

Как отключить. Удалите склонированный каталог репозитория, скиллы лежат в нем в .claude/skills. Песочницу gVisor, если настраивали, уберите отдельно.

Частые вопросы

С чего начать работу с Defending Code Reference Harness?

Склонируйте репозиторий, запустите claude в его каталоге и выполните /`quickstart`. Скилл проведет первый день на учебной цели canary: модель угроз, статический скан и разбор находок.

Безопасно ли запускать скиллы без песочницы?

Интерактивные `quickstart`, `threat-model`, `vuln-scan` и `triage` только читают и пишут файлы. Автономные конвейеры исполняют код цели и отказываются работать вне gVisor без явного обхода.

Чем конвейер отличается от Claude Security?

Claude Security — размещенный продукт Anthropic для нескольких проектов. Репозиторий — открытый справочный образец, который вы адаптируете сами.

Как перенести конвейер на другой язык?

Командой /`customize`: она подскажет, какие файлы менять под ваш язык, детектор и класс уязвимостей.

Что такое `dnr-hunt` и `dnr-respond`?

Скиллы линии обнаружения и реагирования: они ищут следы атакующего в журналах, оценивают ущерб и предлагают ответные меры. Демонстрационная цель лежит в targets/dnrcanary.

Обсуждение

Вопросов и отзывов пока нет.

Скиллы

Claude Code CyberSecurity Skills

Claude Code CyberSecurity Skill Collection

Набор из 22 скиллов по кибербезопасности для Claude Code: разведка, поиск уязвимостей, реагирование на инциденты, red и blue team, разбор вредоносов

СкиллШирокий доступ501

claude-bughunter

Набор скиллов и команд для авторизованного багбаунти и внешнего red team в Claude Code: методики, шаблоны цепочек и отчетов

ПлагинШирокий доступ5,2 тыс.

AgentShield

AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F

CLIРасширенный доступ1,3 тыс.

claude-code-hooks

Каталог из 22 плагинов с хуками для Claude Code: безопасность, контроль расходов, наблюдаемость и автоматизация

ПлагинРасширенный доступ547

pentest-ai-agents

Набор из полусотни субагентов Claude Code для авторизованного пентеста: планирование, разведка, поиск и цепочки эксплойтов, пост-эксплуатация, детект и отчеты

ПлагинШирокий доступ2,4 тыс.

RAPTOR

Нужен VPN

Фреймворк исследования безопасности на базе Claude Code: статический анализ, проверка находок моделью, эксплойты и патчи

ВоркфлоуШирокий доступ3,9 тыс.

Сравнение с похожими

Записи с тем же главным запросом: чем они отличаются.

Запись	Официальный	Звезды репозитория	Главное отличие
Defending Code Reference Harness (эта запись)	да	7 625
Anthropic Cybersecurity Skills	нет	34 860	большая библиотека сторонних скиллов по ИБ; здесь эталонный конвейер от самой Anthropic
Расширение безопасности для Gemini CLI	нет	794	ищет уязвимости в изменениях ветки внутри Gemini CLI, без автономного конвейера

Коротко о README

Репозиторий описан как эталонная реализация автономного поиска и исправления уязвимостей с Claude, основанная на опыте работы с командами безопасности. Он рядом со статьей в блоге и учебником в Cookbook. Содержимое делится на скиллы Claude Code, автономный конвейер и линию обнаружения и реагирования. Отдельный блок про безопасность объясняет, какие скиллы только читают файлы, а какие исполняют код. Дальше идет запуск и список документов о конвейере, песочнице, моделях угроз и исправлениях.

Бейдж для README

Исходный SKILL.md

---
name: quickstart
description: >-
  The front door for this repo. With no argument: a 30-second
  intro, then an offer to walk you through your first run on the canary
  target. With a question: answers it from this repo's own docs and source,
  cites where it looked, and hands you the next command. Use for "how do
  I…", "why does…", "where is…", "can this…", or just "/quickstart" to get
  oriented.
argument-hint: "[question]   (blank = 30-sec intro)"
allowed-tools:
  - Read
  - Glob
  - Grep
  - Task
  - AskUserQuestion
---

# /quickstart

Two modes, picked by whether `$ARGUMENTS` is empty.

- **Empty → Intro mode.** Short orientation, then offer the guided first run.
- **Non-empty → Help mode.** Treat `$ARGUMENTS` as the operator's question.

---

## Intro mode

Keep it short and a little warm; this is the first thing a new operator sees.

Say roughly:

> **Welcome!** This repo takes you from finding your first vulnerability to
> patching at scale, using a set of Claude Code skills and an autonomous
> pipeline. Two ways in: **interactive skills** (no setup, safe, start here)
> and the **autonomous pipeline** (Docker, scales to hundreds of parallel
> agents).
>
> The ramp-up:
>
> | Day 1   | Threat-model + first static scan + triage |
> | Day 2   | Run the reference pipeline (C/C++)              |
> | Day 3-4 | Customize it for your stack               |
> | Week 2  | Autonomous scanning, triage, and patching |
>
> Day-1 goal: threat-model, scan, and triage the bundled canary target.
> Most teams get there before lunch.

Remind them to `export CLAUDE_CODE_SUBAGENT_MODEL=<model-id>` so subagents
use the same model as the session.

Then **AskUserQuestion** with three options:

1. **Walk me through Day 1 on the canary (~10 min)** → run "Guided first
   run" below.
2. **I have a question** → ask what it is, then switch to Help mode.
3. **I'll read the README** → point at `README.md` Step 1 and stop.

### Guided first run

Сообщить о проблеме