К основному содержанию
affpapa.org
RU EN
скилл Claude Code CX Codex Cursor GitHub Copilot

agentic-actions-auditor — скилл для Claude Code: аудит CI/CD

Проверяет рабочие процессы GitHub Actions с интеграцией ИИ-агентов на уязвимости и инъекции промптов. Помогает найти утечки контекста через переменные окружения и опасные триггеры.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓ 
npx skills add trailofbits/skills --skill agentic-actions-auditor -a claude-code
Открыть на GitHub

Что делает agentic-actions-auditor

Скилл проводит статический разбор конфигураций GitHub Actions, где запускаются Claude Code Action или Gemini CLI. Он отслеживает, попадают ли данные внешних пользователей из событий pull_request_target или issue_comment в промпты моделей. Анализируются как прямые вставки выражений, так и скрытая передача через блоки env:.

Проверка выполняется локально через поиск файлов .github/workflows/*.ya?ml либо удалённо по ссылке на репозиторий через утилиту gh api. Инструмент лишь фиксирует найденные бреши, не внося правки в файлы YAML, и не предназначен для фаззинга в рантайме или работы с GitLab CI.

Какие задачи решает

  • найти скрытую передачу внешних данных в промпт через переменные окружения
  • проверить права триггеров pull_request_target и issue_comment
  • выявить небезопасные настройки песочниц в файлах CI/CD
  • проанализировать конфигурации GitHub Actions с агентами Claude Code

Примеры запросов агенту

  • Проверь репозиторий owner/repo на уязвимости в пайплайнах с ИИ-агентами
  • Проведи аудит безопасности воркфлоу в каталоге .github/workflows

Как установить agentic-actions-auditor

1Через Skills CLI (Vercel)

npx skills add trailofbits/skills --skill agentic-actions-auditor -a claude-code

2Вручную: положить файлы

~/.claude/skills/agentic-actions-auditor/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/agentic-actions-auditor/

Из того же набора35

Весь набор →
semgrep trailofbits Находит уязвимости в кодовой базе с помощью Semgrep. Скилл согласует план проверок и собирает результаты в единый отчёт SARIF. Claude Code CX Codex Cursor +1 9 500установок differential-review trailofbits Проверяет изменения кода с упором на безопасность, историю Git и покрытие тестами. Нужен для разбора коммитов, различий и пул-реквестов с отчётом. Claude Code CX Codex Cursor +1 8 800установок modern-python trailofbits Настраивает Python-проекты под современный стек инструментов: uv для зависимостей, ruff для линтинга и форматирования, ty для проверки типов. Пригодится при создании новых проектов, написании скриптов и миграции со старых инструментов. Claude Code CX Codex Cursor +1 8 700установок secure-workflow-guide trailofbits Проводит смарт-контракты через пятиэтапный аудит безопасности от Trail of Bits перед деплоем или при коммитах. Запускает статический анализ, строит диаграммы и настраивает фаззинг. Claude Code CX Codex Cursor +1 7 400установок sharp-edges trailofbits Проверяет архитектуру API и схемы конфигураций на скрытые уязвимости интерфейса. Помогает убрать опасные параметры по умолчанию и предотвратить ошибки разработчиков. Claude Code CX Codex Cursor +1 6 900установок gh-cli trailofbits Скилл заставляет ИИ использовать аутентифицированный gh CLI вместо curl и fetch при работе с репозиториями, PR и issues GitHub. Нужен для приватных репо и выше лимитов API. Claude Code CX Codex Cursor +1 6 600установок variant-analysis trailofbits Ищет в репозитории другие проявления уже найденной ошибки. Нужен после уязвимости или логического дефекта, когда требуется проверить похожий код. Claude Code CX Codex Cursor +1 6 400установок sarif-parsing trailofbits Разбирает готовые отчёты SARIF от CodeQL, Semgrep и других сканеров. Пригодится для фильтрации находок, удаления дублей и подготовки данных для CI/CD. Claude Code CX Codex Cursor +1 5 900установок

Похожие

the-fool https://github.com/Jeffallan Скилл устраивает стресс-тест архитектурным планам, идеям и коду через пять режимов критики. Помогает найти слабые места и скрытые допущения до начала реализации. Claude Code CX Codex Cursor +1 4 400установок security-review getsentry Находит инъекции, XSS, ошибки авторизации и другие уязвимости в коде. Отчитывается только о находках с высокой уверенностью. Claude Code CX Codex Cursor +1 21 100установок gateway-workers cloudflare Скилл для разработки, отладки и ревью Cloudflare Workers, которые запускаются в Forward-действиях Gateway HTTP-политик. Помогает работать с GatewayMiddleware, типами контекста и продолжением запроса. Claude Code CX Codex Cursor +1 7 700установок agentic-jujutsu ruvnet Координирует одновременную работу нескольких ИИ-агентов с кодом без конфликтов и блокировок версионного контроля через надстройку над Jujutsu. Claude Code CX Codex Cursor +1 1 200установок git-guardrails-claude-code Matt Pocock Скилл ставит хук Claude Code, который останавливает опасные Git-команды до их запуска. Нужен, если агент не должен делать push или удалять изменения. Claude Code 499 069установок ponytail-review DietrichGebert Скилл проверяет изменения глубже обычного diff: читает связанный код, ищет ошибки, риски, проблемы нагрузки и недостающие тесты. Пригодится для ревью PR и коммитов. Claude Code CX Codex Cursor +1 56 300установок ponytail-audit DietrichGebert Проверяет репозиторий и ранжирует ошибки, риски и лишний код. Подойдёт, если нужен разовый разбор без автоматических правок. Claude Code CX Codex Cursor +1 44 800установок security-audit cloudflare Проверяет кодовую базу на уязвимости и ищет нарушения границ доверия. Пригодится перед релизом или для точечного разбора опасных участков кода. Claude Code CX Codex Cursor +1 52 200установок

Вопросы о agentic-actions-auditor

Как установить agentic-actions-auditor в Claude Code?

Выполните команду npx skills add trailofbits/skills --skill agentic-actions-auditor -a claude-code.

Что делает скилл agentic-actions-auditor?

Он проводит статический аудит файлов GitHub Actions и ищет места, где ненадёжные входные данные попадают в промпты ИИ-агентов.

Исправляет ли скилл найденные проблемы в YAML-файлах автоматически?

Нет, он только находит векторы атак и формирует отчёт, не изменяя сам код воркфлоу.

Смотрите также

Спонсоры проекта

Компании, которые помогают держать аналитику открытой
Золотой спонсор AI-аналитика спроса на iGaming — индекс, тренды, конкуренты
Nutra.Club Закрытое сообщество Nutra-вертикали от команды M1

Показы, клики и копирования кода — открытая статистика. Мы держим цифры публичными по той же логике, что и сам NeBlask. Стать спонсором