VibeSec

Установка

npx skillfoxx add skills/vibesec-skill

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a claude-code -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a cursor -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a github-copilot -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a codex -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a gemini-cli -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a cline -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a roo -y

npx skills add behisecc/vibesec-skill --skill VibeSec-Skill -a opencode -y

git clone https://github.com/BehiSecc/VibeSec-Skill

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

Скилл задает агенту методику защищенной разработки веб-приложений. Один файл SKILL.md разбирает классы уязвимостей и правила защиты: контроль доступа (IDOR, эскалация привилегий, mass assignment), клиентские проблемы (XSS, CSRF, утечка секретов, открытые редиректы), серверные (SSRF, SQL-инъекции, XXE, обход путей, небезопасная загрузка файлов), аутентификацию и пароли, безопасность JWT, а также API и GraphQL. К каждому классу идут техники обхода, которые применяют атакующие, пограничные случаи, заметки под конкретные фреймворки и облака, чек-листы для проверки. Скилл включается, когда агент работает над веб-приложением или когда вы просите провести ревью или аудит безопасности. Установка сводится к копированию папки в каталог скиллов Claude Code, Cursor, Codex или GitHub Copilot.

Для кого. Для разработчиков, которые пишут или ревьюят веб-приложения и хотят безопасные решения по умолчанию.

Пример запроса к агенту

Я строю веб-приложение, проверь этот код на уязвимости и предложи безопасные практики

Ограничения

Это справочная методика, а не сканер и не инструмент запуска, код скилл не выполняет. Автор указывает, что скилл покрывает распространенные уязвимости, а более полная версия с расширенным покрытием предлагается отдельно на сайте vibesec.sh. Материал на английском.

Как отключить. Удалите скопированную папку скилла из ~/.claude/skills или из .claude/skills проекта, для других агентов из их каталога скиллов.

Проверка безопасности

• Скилл состоит только из инструкций и чек-листов, код не запускает
• Назначение оборонительное: помощь в написании безопасного кода и его проверке

Коротко о README

README представляет VibeSec как скилл, который помогает агенту писать безопасный код и не заносить в продакшн типовые уязвимости. Установка описана для Claude Code, Cursor, Codex, GitHub Copilot и Antigravity через клонирование репозитория и добавление папки в каталог скиллов. Таблица покрытия перечисляет классы уязвимостей: контроль доступа, клиентские и серверные проблемы, аутентификацию и безопасность API. Отдельно отмечены техники обхода, пограничные случаи, привязка к фреймворкам и облакам и чек-листы. В README указано, что скилл покрывает распространенные уязвимости, а более полная версия доступна на vibesec.sh, лицензия Apache-2.0.

SKILL.md

---
name: VibeSec-Skill
description: This skill helps Claude write secure web applications. Use this when working on any web application or when a user requests a scan or audit to ensure security best practices are followed.
---

# Secure Coding Guide for Web Applications

## Overview

This guide provides comprehensive secure coding practices for web applications. As an AI assistant, your role is to approach code from a **bug hunter's perspective** and make applications **as secure as possible** without breaking functionality.

**Key Principles:**
- Defense in depth: Never rely on a single security control
- Fail securely: When something fails, fail closed (deny access)
- Least privilege: Grant minimum permissions necessary
- Input validation: Never trust user input, validate everything server-side
- Output encoding: Encode data appropriately for the context it's rendered in

## Access Control Issues

Access control vulnerabilities occur when users can access resources or perform actions beyond their intended permissions.

### Core Requirements

For every data point and action that requires authentication: each user must only access their own data, use non-guessable identifiers instead of sequential IDs, and revoke access tokens and sessions when an account is removed or deleted.

Похожие