attack-path-analysis — скилл для Codex: что делает и как установить
Скилл для Codex и ChatGPT: восстанавливает цепочку атаки от источника к приёмнику, оценивает серьёзность и отсекает ложные срабатывания по модели угроз.
npx skills add openai/plugins --skill attack-path-analysis -a codexЧто делает attack-path-analysis
Скилл включается на этапе анализа пути атаки при сканировании безопасности или по прямому запросу пользователя. Он берёт кандидатов на уязвимости и сопоставляет их с моделью угроз репозитория. Агент проверяет точки входа, границы доверия и движение конфиденциальных данных. Никаких выдуманных цепочек атак: агент опирается строго на факты из кода.
Перед утверждением вердикта скилл ищет опровергающие улики в репозитории. Если код доступен только администраторам или изолирован внутри сети, статус находки пересматривается. Для работы обязательно нужны модель угроз сканирования и список потенциальных уязвимостей. В сетевой доступ агент выходит только при явном разрешении пользователя.
Этот скилл нужен командам, которые уже проводят аудит безопасности через Codex и хотят отсеять ложные срабатывания по реальному контексту репозитория. Запускать его как главный триггер для первичного сканирования всего репозитория или пулл-реквеста бессмысленно.
Какие задачи решает
- отследить путь уязвимости от источника данных до приёмника
- сопоставить потенциальную брешь с моделью угроз репозитория
- выявить опровергающие улики для отсева ложных срабатываний
- откалибровать уровень опасности и вероятность атаки
Примеры запросов агенту
- Проанализируй путь атаки для найденной уязвимости от источника до приёмника и проверь границы доверия
- Сверь подтверждённых кандидатов безопасности с моделью угроз и откалибруй уровень критичности
Как установить attack-path-analysis
1Через Skills CLI (Vercel)
npx skills add openai/plugins --skill attack-path-analysis -a codex2Вручную: положить файлы
.agents/skills/attack-path-analysis/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add openai/plugins --skill attack-path-analysis -a claude-code2Вручную: положить файлы
~/.claude/skills/attack-path-analysis/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/attack-path-analysis/
Вручную: положить файлы
.cursor/skills/attack-path-analysis/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install openai/plugins attack-path-analysis2Вручную: положить файлы
.github/skills/attack-path-analysis/SKILL.mdКомандой платформы
gemini skills install https://github.com/openai/plugins --path plugins/codex-security/skills/attack-path-analysisВручную: положить файлы
.devin/skills/attack-path-analysis/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Claude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
Из того же набора201
Весь набор →Похожие
Вопросы о attack-path-analysis
Как установить attack-path-analysis в Codex?
Добавьте скилл командой npx skills add openai/plugins --skill attack-path-analysis в терминале проекта. Codex сохранит файл навыка по пути .agents/skills/attack-path-analysis/SKILL.md.
Что делает скилл attack-path-analysis?
Он восстанавливает фактический маршрут эксплуатации уязвимости от точки входа до уязвимого места в коде. Скилл сопоставляет находку с моделью угроз, проверяет контраргументы и выставляет итоговый вердикт по уровню угрозы.
Можно ли запускать attack-path-analysis для первого сканирования репозитория?
Нет, скилл не предназначен для первичной проверки коммитов, веток или всего репозитория. Его запускают на этапе детального анализа уже найденных кандидатов или по прямому запросу на разбор конкретной уязвимости.
