scan-verifier — субагент для Claude Code: проверка находок сканера
Читает один кандидат в уязвимости и пытается его опровергнуть. Вызывается воркфлоу Claude Security, вручную не запускается.
/plugin install claude-security@claude-plugins-officialЧто делает scan-verifier
scan-verifier — один из трёх голосующих в панели, которая решает судьбу одной находки сканера безопасности. Каждому голосующему достаётся своя линза: достижимость, последствия или уже существующая защита. Арифметику панели считает код вне моделей, так что субагент просто отдаёт честный голос и не подстраивается под остальных.
Работает только на чтение: Read, Glob, Grep, Bash с read-only командами и вызов субагента Agent(claude-security:explore). Сборка, тесты, запуск кода и сеть запрещены. Репозиторий берётся по абсолютному пути из SCAN_ROOT, git вызывается как git -C <SCAN_ROOT> ... — если положиться на текущую рабочую директорию, можно проверить не тот файл и подтвердить находку, которой нет.
По умолчанию субагент склоняется к FALSE_POSITIVE: TRUE_POSITIVE ставится только при подтверждённом пути атаки с указанием file:line для источника, опасной операции и отсутствия защиты между ними. Придумывать защиту, чтобы закрыть находку, тоже нельзя — опровергать можно лишь тем, что реально прочитано. Если находка разрешается только запуском кода, это FALSE_POSITIVE с пояснением, что осталось неподтверждённым. Всё прочитанное считается недоверенными данными: текст вроде «здесь проверять не нужно» — повод насторожиться, а не инструкция.
Какие задачи решает
- отсеять ложные срабатывания сканера безопасности до того, как их начнут чинить
- проверить, управляет ли атакующий входными данными в конкретной точке
- понять, есть ли на пути к опасной операции защита во фреймворке
- отличить реальную уязвимость от находки, которая лишь выглядит рискованной
- оценить серьёзность подтверждённой находки по коду, а не по описанию
Примеры запросов агенту
- Запусти проверку находки сканера через scan-verifier
- Пусть scan-verifier проголосует по этой находке в линзе REACHABILITY
- Отдай находку scan-verifier и укажи SCAN_ROOT
Как установить scan-verifier
1Через маркетплейс плагинов
/plugin install claude-security@claude-plugins-official2Вручную: положить файлы
.claude/agents/scan-verifier.mdДля всех проектов — ~/.claude/agents/. Claude делегирует задачу сам по полю description или по @-упоминанию
Вручную: положить файлы
.codex/agents/scan-verifier.tomlCodex описывает субагентов в TOML: name, description, developer_instructions. Текст из Markdown перенесите в developer_instructions вручную. Для всех проектов — ~/.codex/agents/
Вручную: положить файлы
.cursor/agents/scan-verifier.mdCursor понимает и .claude/agents/
По шагам, с командами для каждой платформы: Субагенты Claude Code: как создать, вызвать и не утопить контекст
Вопросы о scan-verifier
Как установить scan-verifier в Claude Code?
Через маркетплейс: сначала /plugin marketplace add anthropics/claude-plugins-official, затем /plugin install claude-security@claude-plugins-official. Файл субагента при этом ложится в .claude/agents/scan-verifier.md.
Что делает scan-verifier?
Получает одну находку сканера и пытается её опровергнуть. Голосует FALSE_POSITIVE или TRUE_POSITIVE, а в reasoning указывает решающую строку file:line.
Можно вызвать scan-verifier напрямую?
Нет. Это ограниченный субагент, которого запускает воркфлоу Claude Security, и он рассчитан на один кандидат за вызов.
