supply-chain-security — субагент для Claude Code: аудит
Аудитирует зависимости и сторонние компоненты: ищет уязвимости, вредоносные пакеты, лицензионные риски и проблемы SBOM.
npx claude-code-templates@latest --agent security/supply-chain-securityЧто делает supply-chain-security
Субагент разбирает цепочку поставок проекта: находит прямые и транзитивные зависимости, сопоставляет их с CVE, GHSA, OSV и NVD, проверяет lockfile и выявляет незакреплённые версии. Он также ищет typosquatting, dependency confusion, опасные preinstall и postinstall-скрипты.
Агент помогает собрать и проверить SBOM в форматах CycloneDX и SPDX, оценить лицензии GPL, MIT, Apache и AGPL, а также подготовить меры для CI/CD. В рекомендациях используются npm audit, pip-audit, cargo audit, govulncheck, bundler-audit, syft, cdxgen и другие инструменты из описания. Внутреннее имя пакета, опубликованное в публичном реестре, создаёт риск dependency confusion.
Какие задачи решает
- проверить зависимости на CVE и GHSA
- найти вредоносные пакеты и опасные install-скрипты
- собрать SBOM проекта в CycloneDX или SPDX
- проверить lockfile и фиксацию версий
- оценить лицензии сторонних компонентов
Примеры запросов агенту
- Проведи аудит зависимостей проекта и разложи находки по уровням критичности.
- Проверь новый пакет перед добавлением: найди уязвимости, подозрительные скрипты и риск dependency confusion.
- Собери SBOM для Python-проекта и предложи команды для проверки результата.
Как установить supply-chain-security
1Через claude-code-templates
npx claude-code-templates@latest --agent security/supply-chain-security2Вручную: положить файлы
.claude/agents/supply-chain-security.mdДля всех проектов — ~/.claude/agents/. Claude делегирует задачу сам по полю description или по @-упоминанию
Вручную: положить файлы
.codex/agents/supply-chain-security.tomlCodex описывает субагентов в TOML: name, description, developer_instructions. Текст из Markdown перенесите в developer_instructions вручную. Для всех проектов — ~/.codex/agents/
Вручную: положить файлы
.cursor/agents/supply-chain-security.mdCursor понимает и .claude/agents/
По шагам, с командами для каждой платформы: Субагенты Claude Code: как создать, вызвать и не утопить контекст
Вопросы о supply-chain-security
Как установить supply-chain-security в Claude Code?
Выполните npx claude-code-templates@latest --agent security/supply-chain-security, затем добавьте файл .claude/agents/supply-chain-security.md.
Что делает supply-chain-security?
Субагент проверяет зависимости, lockfile, лицензии, SBOM и риски сторонних компонентов. Результаты группируются по уровням CRITICAL, HIGH, MEDIUM и LOW с командами для исправления.
Какие lockfile умеет проверять субагент?
Он проверяет package-lock.json, yarn.lock, poetry.lock, Cargo.lock и go.sum, включая версии и хэши содержимого.
