draft-security-advisory — скилл для Claude Code: установка
Скилл превращает отчёт об уязвимости в готовый черновик GitHub Security Advisory. Он помогает сопровождающим быстро подготовить публикацию без утечки деталей эксплойта.
npx skills add frappe/skills --skill draft-security-advisory -a claude-codeЧто делает draft-security-advisory
Скилл оформляет текст для формы GitHub Security Advisory (GHSA), описывая уязвимость на уровне абстрактного класса, а не конкретного участка кода. Он убирает из описания пути к файлам, имена функций, параметры и полезную нагрузку. В черновике остаются обобщённые формулировки вроде «отдельные эндпоинты» или «поле конфигурации», чтобы читатели не могли восстановить вектор атаки по тексту бюллетеня.
Инструмент заполняет четыре обязательных текстовых поля формы: сводку, подробности, схему концепта атаки и влияние на систему. Текст не дублируется. Следом формируются значения для структурированных параметров: расчёт метрик CVSS v3.1 с кратким обоснованием, подбор номера CWE и указание авторов отчёта и исправления.
В метаданных скилла отключён автоматический вызов модели (disable-model-invocation: true), поэтому его запускают вручную вместе с исходным отчётом. Если проект поддерживает несколько активных веток, для таблицы затронутых версий потребуется заранее уточнить список поддерживаемых релизов.
Какие задачи решает
- Составить публикацию GitHub Security Advisory по сырому отчёту об ошибке безопасности
- Скрыть уязвимые файлы, эндпоинты и пейлоады за обобщённым описанием класса дефекта
- Рассчитать базовый балл и вектор метрик CVSS v3.1 с кратким обоснованием
- Подобрать подходящий идентификатор CWE для найденной проблемы
Примеры запросов агенту
- Составь черновик GHSA по этому отчёту об уязвимости в API
- Сформируй текст security advisory для найденной SQL-инъекции, исключив имена файлов
- Рассчитай CVSS v3.1 и заполни поля GitHub Advisory на основе прикреплённого багрепорта
Как установить draft-security-advisory
1Через Skills CLI (Vercel)
npx skills add frappe/skills --skill draft-security-advisory -a claude-code2Вручную: положить файлы
~/.claude/skills/draft-security-advisory/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/draft-security-advisory/
1Через Skills CLI (Vercel)
npx skills add frappe/skills --skill draft-security-advisory -a codex2Вручную: положить файлы
.agents/skills/draft-security-advisory/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add frappe/skills --skill draft-security-advisory -a cursor2Вручную: положить файлы
.cursor/skills/draft-security-advisory/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install frappe/skills draft-security-advisory2Вручную: положить файлы
.github/skills/draft-security-advisory/SKILL.md1Через Skills CLI (Vercel)
npx skills add frappe/skills --skill draft-security-advisory -a gemini-cli2Командой платформы
gemini skills install https://github.com/frappe/skills --path skills/draft-security-advisoryВручную: положить файлы
.devin/skills/draft-security-advisory/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add frappe/skills --skill draft-security-advisory -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о draft-security-advisory
Как установить draft-security-advisory в Claude Code?
Выполните команду npx skills add frappe/skills --skill draft-security-advisory -a claude-code.
Что делает скилл draft-security-advisory?
Он принимает входной отчёт об уязвимости и создаёт текст для четырёх полей формы GHSA вместе с расчётом CVSS v3.1 и CWE.
Почему в описании уязвимости скрываются имена функций и пейлоады?
Правило описания на уровне класса требует убирать точные пути и примеры эксплойтов, чтобы сторонние читатели не могли быстро найти уязвимое место в коде до обновления.
