agentic-security — плагин для Claude Code: что делает и как установить
Плагин для Claude, который ищет уязвимости в коде, проверяет находки на эксплуатируемость и чинит их через проверку. Пригодится, когда код пишет модель и надо понять, что там небезопасно.
/plugin marketplace add anthropics/claude-plugins-community
/plugin install agentic-security@claude-communityЧто делает agentic-security
Плагин разбирает проект механическими анализаторами и агентами: одни ищут слабые места, другие пытаются опровергнуть находку. Утверждение считается доказанным только тогда, когда его подтверждают инструменты, а не мнение модели. Модель не назначает критичность, не подтверждает эксплойт и не помечает правку проверенной.
Правки проходят через шлюз: патч заново сканируют, проверяют линтером и тестами, прежде чем записать в файлы. В отчёте перечислено, какие проверки прошли, а какие нет. Запуск идёт через npx @clear-capabilities/agentic-security-scanner ci examples/demo-app --assurance strict — ключ --assurance есть только у ci, у scan его нет. Режим strict валит сборку, если сам анализ не завершился полностью, а не только по найденным уязвимостям.
Незавершённое сканирование никогда не выдаётся за чистое: неполный анализ, пропущенный шаг проверки или недоступный анализатор — это не доказательство безопасности. Точность на стороннем коде измеряли один раз, и она низкая: precision 6/19, recall 6/278, F1 0.040. Это стоит держать в голове перед тем, как доверять отчёту.
Какие задачи решает
- найти уязвимости в коде, который сгенерировала модель
- отсеять ложные срабатывания сканера через попытку опровержения
- показать, до чего может дотянуться найденная дыра
- починить уязвимость и убедиться, что правка не сломала код
- не принять неполное сканирование за чистое
Примеры запросов агенту
- Запусти сканирование демо-приложения:
npx @clear-capabilities/agentic-security-scanner ci examples/demo-app --assurance strict - Проверь этот репозиторий на уязвимости и покажи, что реально эксплуатируется
- Найди проблему, предложи патч и прогони проверки перед записью
Как установить agentic-security
Через маркетплейс плагинов
/plugin marketplace add anthropics/claude-plugins-community/plugin install agentic-security@claude-communityПо шагам, с командами для каждой платформы: Плагины Claude Code: маркетплейсы, установка и как собрать свой
Вопросы о agentic-security
Как установить agentic-security в Claude Code?
Через маркетплейс: сначала /plugin marketplace add anthropics/claude-plugins-community, затем /plugin install agentic-security@claude-community.
Что делает agentic-security?
Ищет уязвимости, пробует опровергнуть собственные находки и доказывает эксплуатируемость там, где есть воспроизведение. Патчи записываются только после повторного сканирования, линтера и тестов.
Можно ли доверять его отчёту о безопасности?
Незавершённый анализ он не выдаёт за чистый, а точность на коде, для которого движок не строили, измерена один раз и оказалась низкой: precision 6/19, recall 6/278, F1 0.040.
