LLM SAST Skills
Набор скиллов, который превращает агента в статический анализатор кода: ищет уязвимости и собирает отчет с приоритетами
- 1 371 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Скиллы читают весь исходный код проекта, включая места с секретами и авторизацией
- Разбор ведет языковая модель, полнота находок не гарантируется, выводы нужно перепроверять
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/llm-sast-skillsОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Скиллы читают весь исходный код проекта, включая места с секретами и авторизацией
- Разбор ведет языковая модель, полнота находок не гарантируется, выводы нужно перепроверять
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Набор дает агенту методику статического анализа безопасности без сторонних инструментов. Работа идет в три шага: сначала скилл sast-analysis строит карту технологий, архитектуры, точек входа, потоков данных и границ доверия и пишет ее в файл. Затем набор скиллов по классам уязвимостей запускается параллельно, каждый в два прохода: сперва поиск подозрительных мест, потом проверка эксплуатируемости. Наконец скилл sast-report сводит находки в единый отчет с ранжированием по критичности и рекомендациями по исправлению. Разбираются SQL-инъекции, XSS, удаленное выполнение кода, SSRF, IDOR, XXE, SSTI, слабый JWT, отсутствие авторизации, обход путей, небезопасная загрузка файлов, уязвимости GraphQL и логики. Оркестрацию задает файл CLAUDE.md или AGENTS.md.
Для кого. Для разработчиков, QA- и devops-инженеров, которым нужен разбор безопасности своего кода вместе с агентом.
Подходит, если
- Нужно найти уязвимости в своем веб- или мобильном коде без отдельного сканера
- Нужен отчет по безопасности с приоритетами и рекомендациями
- Нужно перепроверить код после исправлений
Не подходит, если
- Нужен тест чужой системы без разрешения на анализ ее кода
- Нужен детерминированный сканер с гарантией полноты, а не разбор моделью
Пример запроса к агенту
Найди уязвимости в этом коде и собери отчет с приоритетамиОграничения
Анализ выполняет языковая модель, поэтому качество зависит от нее, авторы рекомендуют Claude Code с моделью Opus. Набор читает исходный код проекта и пишет отчеты в папку sast, внешних действий он не делает. Установка нестандартная: свой проект копируется в папку sast-files, которая становится рабочей областью. Если в проекте уже есть файл CLAUDE.md или AGENTS.md, его нужно убрать, иначе он конфликтует с оркестрацией. Результаты стоит перепроверять, гарантии полноты нет.
Как отключить. Удалите каталог репозитория с папками .claude/skills и .agents/skills или сами папки скиллов из каталога скиллов агента.
Частые вопросы
Нужны ли сторонние сканеры?
Нет. Анализ делает сама модель по методике из скиллов, отдельные инструменты не требуются.
Куда попадают результаты?
В папку sast в корне проекта: карта архитектуры, находки по классам уязвимостей и сводный отчет по критичности.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
СкиллыСкилл для Claude Code ищет уязвимости в одной сессии: модель угроз, проверка находок, отчет с CWE и CVSS без внешнего сканера.
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Движок анализа потоков данных для Java и Kotlin с набором скиллов для агента: сканирует код, разбирает находки и создает правила.
Скилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет
Сканер безопасности для скиллов и MCP агентов: ищет промпт-инъекции, утечки данных и риски цепочки поставок до установки
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Коротко о README
README описывает набор агентских скиллов, который превращает ассистента в статический анализатор безопасности без сторонних инструментов. Работает с Claude Code, Codex, Opencode, Cursor и другими агентами со скиллами, рекомендуется Claude Code с Opus. Процесс из трех шагов: анализ кодовой базы, параллельный поиск по классам уязвимостей в два прохода и сведение в итоговый отчет. Установка идет копированием своего проекта в папку sast-files, которая открывается как рабочая область. Запуск по фразе о поиске уязвимостей, повторный прогон пропускает уже готовые шаги. Лицензия MIT.
Бейдж для README
Исходный SKILL.md
--- name: sast-analysis description: >- Perform codebase analysis and architecture mapping as the first phase of a security assessment. Explores the tech stack, frameworks, entry points, data flows, and trust boundaries. Outputs sast/architecture.md. Run this before any vulnerability detection skill. Use when asked to analyze a codebase for security or when sast/architecture.md does not yet exist. --- # Codebase Analysis You are performing the first phase of a security assessment. Your goal is to deeply understand the codebase. You are NOT looking for specific vulnerabilities yet. This is pure reconnaissance.