SkillFoxx
Telegram

vibe-audit — скилл

Скилл проверяет проект на типовые дыры вайбкодинга: ключи в коде, .env в git, открытые LLM-эндпоинты и слабую авторизацию.

  • 107 ★ репозитория
  • Последний коммит
  • MIT
Скилл

Минимальный доступ

Почему такой уровень

  • Скилл только читает проект, а проверка живого сайта делает обычные GET-запросы и работает со своим доменом.
Все причины и проверки

haraldalder-vibemogger/vibe-auditАвтор:haraldalder-vibemogger

Установка

В терминале, через SkillFoxx CLI

npx skillfoxx add skills/vibe-audit

Определит агенты на машине, покажет уровень доступа и зафиксирует версию.

Другие способы установки

Доступ и проверки

Как мы проверяем

Минимальный доступИнструмент ничего не запускает и не ходит в сеть.

  • Скилл только читает проект, а проверка живого сайта делает обычные GET-запросы и работает со своим доменом.

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

vibe-audit сканирует проект на типовые уязвимости, которые оставляют ИИ-ассистенты. Скрипт `audit.py` на Python без зависимостей ищет захардкоженные ключи (OpenAI, Anthropic, AWS, GitHub, Stripe, Slack, Telegram, PEM), `.env` в git, секреты в переменных с префиксами `NEXT_PUBLIC_`, `VITE_` и `REACT_APP_`, платные API из фронтенда, `CORS *`, `debug=True`, `eval()`, SQL через f-строки, JWT с `alg:none`, уязвимые зависимости npm и LLM-эндпоинты без авторизации и `max_tokens`. На выходе отчет Markdown «где, что, как чинить» с числом находок и критичных. Секреты в нем маскируются. Скрипт `livecheck.py` проверяет заголовки безопасности, флаги кук и доступность `.env`, `.git/config` и дампов на вашем домене. Поверх Claude делает ручной проход и ведет чек-лист перед деплоем.

Для кого. Авторы проектов, написанных с ИИ-ассистентом, которые выкладывают сайт или API и хотят найти очевидные дыры до публикации.

Подходит, если

  • Перед деплоем проекта на Next.js или Vite нужно убедиться, что ключи платных API не попали в бандл.
  • В репозитории подозревают закоммиченный `.env` или ключ в истории.
  • Эндпоинт с LLM открыт без авторизации, и нужно оценить угрозу счета за токены.
  • Задеплоенный сайт проверяют на заголовки безопасности и торчащие наружу `.git` и дампы.

Не подходит, если

  • Нужен пентест чужого сайта: `livecheck.py` работает только со своим доменом и спрашивает подтверждение.
  • Требуется полноценный аудит безопасности с моделью угроз: скилл ловит типовые ошибки.
  • Проект на Supabase или Firebase без ручной проверки RLS и правил: сканер их не видит.

Пример запроса к агенту

Проверь безопасность моего проекта по vibe-audit и покажи критичные находки первыми.

Ограничения

Сканер ищет по шаблонам и пропускает логические ошибки. Для Supabase и Firebase он только напоминает проверить RLS и правила, а для зависимостей Python подсказывает `pip-audit`, тогда как `npm audit` вызывает сам. Скилл работает на чтение и ничего не меняет в проекте. Проверка домена делает обычные GET-запросы. Для Cowork и claude.ai нужен включенный запуск кода. Чек-лист в `checklist.md` покрывает то, что скрипт увидеть не может, например лимиты расходов и 2FA.

Как отключить. Удалите папку `vibe-audit` из `.claude/skills/` проекта, из `~/.claude/skills/` или из `~/.agents/skills/` для Codex. Файл `vibe-audit-report.md` удалите вручную.

Частые вопросы

Что проверяет скилл?

Ключи в коде, `.env` в git, секреты в клиентских переменных, CORS `*`, `debug=True`, `eval()`, SQL через f-строки, JWT без срока, пароли по умолчанию в docker-compose и открытые LLM-эндпоинты.

Меняет ли он файлы проекта?

Нет. Скилл работает только на чтение, а секреты в отчете показаны в замаскированном виде.

Можно ли запустить без Claude?

Да. `audit.py` — обычный скрипт Python без зависимостей: `python3 skills/vibe-audit/scripts/audit.py /путь/к/проекту`.

Как проверить живой сайт?

Командой `python3 skills/vibe-audit/scripts/livecheck.py https://ваш-сайт.com`. Скрипт делает обычные GET-запросы и проверяет только ваш домен.

Где работает скилл?

В Claude Code, Cowork и claude.ai, а также в Codex: формат `SKILL.md` общий для платформ.

Обсуждение

Вопросов и отзывов пока нет.

Скиллы

Проверка безопасности приложений, которые написал агент: правила для AGENTS.md, сканер живого сайта и аудит по 17 уязвимостям

СкиллРасширенный доступ150

Скилл для аудита вайбкод-приложений: секреты, RLS в Supabase, авторизация, платежи, лимиты запросов, мобильные и ИИ-интеграции

СкиллМинимальный доступ1,2 тыс.

VibeSec

VibeSec-Skill

Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений

СкиллМинимальный доступ1,4 тыс.
Выбор редакции

Скилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет

СкиллРасширенный доступ70,6 тыс.11

Коротко о README

Для Cowork и claude.ai есть архив `dist/vibe-audit.zip`, для Claude Code и Codex достаточно папки со скиллом. Скрипты запускаются и без агента.

Бейдж для README

Сообщить о проблеме