esaa-security-audit — скилл для Claude Code: аудит безопасности
Скилл прогоняет по репозиторию 95 проверок в 16 доменах безопасности и пишет каждую находку в неизменяемый журнал событий.
npx skills add reason-machines/security-skills --skill esaa-security-audit -a claude-codeЧто делает esaa-security-audit
Скилл ставит аудит на рельсы event sourcing: каждое действие агента ложится отдельным событием в .roadmap/activity.jsonl, а прогресс выводится из этих событий в roadmap.json. Один и тот же снимок репозитория даёт один и тот же набор находок при повторном прогоне. Полезно, когда нужно объяснить, откуда взялся каждый пункт отчёта.
Работа разбита на фазы: разведка (стек, архитектура, потоки данных, поверхность атаки), затем проверки по доменам из playbooks/playbooks.security.json, потом классификация рисков и рекомендации. Результаты складываются в reports/phase1…reports/final. Агенты ограничены контрактами AGENT_CONTRACT.yaml и ORCHESTRATOR_CONTRACT.yaml, а выход проверяется по схеме — поэтому находка без файла и строки в отчёт не попадёт.
Перед запуском нужен Python 3.9+ и доступ к LLM API: ключ OpenAI или Anthropic в переменных окружения, плюс путь к проверяемому репозиторию в AUDIT_TARGET_REPO. Без ключа фазы просто не стартуют, так что это первое, что стоит проверить.
Какие задачи решает
- прогнать аудит репозитория по 16 доменам безопасности
- получить отчёт с файлом и строкой для каждой находки
- воспроизвести те же находки на том же снимке кода
- проверить код, сгенерированный ИИ, на типовые уязвимости
- разобрать, какие проверки уже прошли, а какие упали
Примеры запросов агенту
- запусти аудит безопасности этого репозитория через ESAA
- прогони проверки ESAA по домену authentication и покажи упавшие
- собери детерминированный отчёт по безопасности из журнала событий
Как установить esaa-security-audit
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill esaa-security-audit -a claude-code2Вручную: положить файлы
~/.claude/skills/esaa-security-audit/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/esaa-security-audit/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill esaa-security-audit -a codex2Вручную: положить файлы
.agents/skills/esaa-security-audit/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill esaa-security-audit -a cursor2Вручную: положить файлы
.cursor/skills/esaa-security-audit/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install reason-machines/security-skills esaa-security-audit2Вручную: положить файлы
.github/skills/esaa-security-audit/SKILL.md1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill esaa-security-audit -a gemini-cli2Командой платформы
gemini skills install https://github.com/reason-machines/security-skills --path skills/esaa-security-auditВручную: положить файлы
.devin/skills/esaa-security-audit/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill esaa-security-audit -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о esaa-security-audit
Как установить esaa-security-audit в Claude?
Выполните npx skills add reason-machines/security-skills --skill esaa-security-audit -a claude-code. Скилл окажется в ~/.claude/skills/esaa-security-audit/SKILL.md.
Что делает esaa-security-audit?
Прогоняет 95 проверок в 16 доменах безопасности и записывает каждое событие аудита в append-only журнал. Из журнала собирается отчёт с доказательствами по каждой находке.
Что нужно для работы скилла?
Python 3.9+, доступ к LLM API (OpenAI GPT-4, Anthropic Claude или совместимый) и читаемый проверяемый репозиторий. Ключи задаются через переменные окружения, путь к цели — в AUDIT_TARGET_REPO.
