# tmforge

Добавляет в GitHub Copilot субагента Strider, который собирает STRIDE-модель угроз по коду и документации и проверяет отчёт по каноническому реестру.

- плагин · `type=plugin` · GitHub Copilot
- Автор: Mark Dalton Gray
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/Hacks4Snacks/tmforge/tree/HEAD/plugins/tmforge
- Обновлён: 2026-10-21
- HTML: https://affpapa.org/nevibecode/plugins/tmforge

## Что делает

Плагин ставит агента **Strider**, который проходит четыре шага: находит доказательства в коде, конфигурации и документации, строит модель по STRIDE, проверяет результат и обновляет её при изменениях. Идентификаторы угроз остаются стабильными, а уже подтверждённые контроли отделены от предположений — при повторном прогоне видно, что реально изменилось.

Внутри два скилла: `threat-modeling` отвечает за сбор доказательств, оценку риска, вёрстку страниц и проверку пакета, а `threat-modeling-tmforge` — за манифест и работу с моделями Microsoft Threat Modeling Tool в формате `.tm7`. По умолчанию режим `analyze` выдаёт один Markdown-отчёт; `formal-package` сохраняет реестр, документы, манифест и диаграмму. Валидаторы запускаются локально и требуют Python 3.10+ без сторонних пакетов.

Для `.tm7` нужен сам tmforge: на первом запуске Strider спросит разрешение и скачает привязанную к версии сборку через управляемый лаунчер. Без Git-репозитория укажите `--root` явно. На macOS релизы не подписаны Developer ID и не нотаризованы, лаунчер не отключает Gatekeeper — если запуск заблокирован, разбирайтесь по локальной политике безопасности. Сгенерированная модель остаётся черновиком, пока человек не сверит её с базой доказательств.

## Установка

### GitHub Copilot (родная платформа)

**Команда из источника**
```bash
copilot plugin install tmforge@awesome-copilot
```

## Когда брать
- построить STRIDE-модель угроз по существующему коду и конфигурации
- получить Markdown-отчёт с оценкой рисков для ревью безопасности
- обновить модель после изменений, сохранив идентификаторы угроз
- сверить готовую модель с реализацией без её перезаписи
- собрать формальный пакет с манифестом и диаграммой `.tm7`

## Примеры запросов агенту
- Проанализируй путь запроса оформления заказа и сделай один Markdown-отчёт по STRIDE
- Собери формальный пакет модели угроз с манифестом и сгенерированным `.tm7`
- Проверь эту модель по реализации, ничего в ней не переписывая

## Похожие
- [security-guidance](https://affpapa.org/nevibecode/plugins/security-guidance.md) — плагин · ★ 44770
- [mcp-tunnels](https://affpapa.org/nevibecode/plugins/mcp-tunnels.md) — плагин · ★ 44770
- [hookify](https://affpapa.org/nevibecode/plugins/hookify.md) — плагин · ★ 44770
- [code-modernization](https://affpapa.org/nevibecode/plugins/code-modernization.md) — плагин · ★ 44770
- [claude-security](https://affpapa.org/nevibecode/plugins/claude-security.md) — плагин · ★ 44770
- [google-cloud-developer](https://affpapa.org/nevibecode/plugins/google-cloud-developer.md) — плагин · ★ 21606

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md