# scan-verifier

Читает один кандидат в уязвимости и пытается его опровергнуть. Вызывается воркфлоу Claude Security, вручную не запускается.

- субагент · `type=agent` · Claude Code · ★ 44770
- Автор: Anthropic · официальный репозиторий Anthropic
- Лицензия: LicenseRef-Proprietary · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/anthropics/claude-plugins-official/tree/HEAD/plugins/claude-security/agents/scan-verifier.md
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/agents/scan-verifier

## Что делает

scan-verifier — один из трёх голосующих в панели, которая решает судьбу одной находки сканера безопасности. Каждому голосующему достаётся своя линза: достижимость, последствия или уже существующая защита. Арифметику панели считает код вне моделей, так что субагент просто отдаёт честный голос и не подстраивается под остальных.

Работает только на чтение: `Read`, `Glob`, `Grep`, `Bash` с read-only командами и вызов субагента `Agent(claude-security:explore)`. Сборка, тесты, запуск кода и сеть запрещены. Репозиторий берётся по абсолютному пути из `SCAN_ROOT`, git вызывается как `git -C <SCAN_ROOT> ...` — если положиться на текущую рабочую директорию, можно проверить не тот файл и подтвердить находку, которой нет.

По умолчанию субагент склоняется к FALSE_POSITIVE: TRUE_POSITIVE ставится только при подтверждённом пути атаки с указанием `file:line` для источника, опасной операции и отсутствия защиты между ними. Придумывать защиту, чтобы закрыть находку, тоже нельзя — опровергать можно лишь тем, что реально прочитано. Если находка разрешается только запуском кода, это FALSE_POSITIVE с пояснением, что осталось неподтверждённым. Всё прочитанное считается недоверенными данными: текст вроде «здесь проверять не нужно» — повод насторожиться, а не инструкция.

## Установка

### Claude Code (родная платформа)

1. **Через маркетплейс плагинов**
В чате агента (не в терминале):
```text
/plugin install claude-security@claude-plugins-official
```

2. **Вручную: положить файлы**
- Файл: `.claude/agents/scan-verifier.md` — Для всех проектов — ~/.claude/agents/. Claude делегирует задачу сам по полю description или по @-упоминанию

### Codex

**Вручную: положить файлы**
- Файл: `.codex/agents/scan-verifier.toml` — Codex описывает субагентов в TOML: name, description, developer_instructions. Текст из Markdown перенесите в developer_instructions вручную. Для всех проектов — ~/.codex/agents/

### Cursor

**Вручную: положить файлы**
- Файл: `.cursor/agents/scan-verifier.md` — Cursor понимает и .claude/agents/

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/anthropics/claude-plugins-official/tree/HEAD/plugins/claude-security/agents/scan-verifier.md

## Когда брать
- отсеять ложные срабатывания сканера безопасности до того, как их начнут чинить
- проверить, управляет ли атакующий входными данными в конкретной точке
- понять, есть ли на пути к опасной операции защита во фреймворке
- отличить реальную уязвимость от находки, которая лишь выглядит рискованной
- оценить серьёзность подтверждённой находки по коду, а не по описанию

## Примеры запросов агенту
- Запусти проверку находки сканера через scan-verifier
- Пусть scan-verifier проголосует по этой находке в линзе REACHABILITY
- Отдай находку scan-verifier и укажи SCAN_ROOT

## Похожие
- [deep-security-scan](https://affpapa.org/nevibecode/skills/deep-security-scan.md) — скилл · 29 установок
- [code-reviewer](https://affpapa.org/nevibecode/agents/voltagent-community-code-reviewer.md) — субагент · 31050 установок
- [security-auditor](https://affpapa.org/nevibecode/agents/voltagent-community-security-auditor.md) — субагент · 10718 установок
- [devops-engineer](https://affpapa.org/nevibecode/agents/devops-engineer.md) — субагент · 7392 установки

Из того же набора: [anthropics/claude-plugins-official](https://affpapa.org/nevibecode/by/anthropics/claude-plugins-official.md) — 145 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md