fp-check — скилл для Claude Code: проверка находок на ложные
Разбирает подозрительную уязвимость по шагам и выносит вердикт TRUE POSITIVE или FALSE POSITIVE с доказательствами. Нужен, когда находку надо подтвердить, а не искать новые.
npx skills add trailofbits/skills --skill fp-check -a claude-codeЧто делает fp-check
Скилл берёт одну конкретную заявку на баг и проверяет её до конца. Сначала он переформулирует claim своими словами: что за уязвимость, какая причина, чем триггерится, какой ущерб и в какой модели угроз. Половина ложных срабатываний разваливается уже на этом шаге, потому что при точной формулировке заявка перестаёт сходиться.
Дальше выбирается маршрут. Standard verification — линейный чек-лист для простых случаев: один компонент, понятный класс бага, без гонок. Deep verification — когда путь данных идёт через несколько модулей, замешаны race conditions или TOCTOU, либо логика без внятной спецификации. У standard есть точки эскалации в deep. Внутри скилл опирается на справочники: references/standard-verification.md, references/deep-verification.md, references/gate-reviews.md с шестью обязательными гейтами, references/bug-class-verification.md под конкретные классы и references/evidence-templates.md для документирования.
Скилл не ищет баги и не делает ревью на стиль или производительность — для этого он не предназначен. Ему нужны инструменты чтения кода и запуска команд: в allowed-tools стоят Read, Grep, Glob, LSP, Bash, Task, Write, Edit, AskUserQuestion и задачи. Если находок несколько, он сначала прогоняет шаг 0 по всем, потом проверяет каждую отдельно и в конце ищет цепочки эксплойтов среди тех, что по отдельности гейт не прошли.
Какие задачи решает
- отсеять ложные срабатывания перед отчётом заказчику
- подтвердить, что находка действительно эксплуатируема
- разобрать спорную заявку на баг по шагам и с доказательствами
- проверить пачку находок и получить по каждой вердикт
- найти цепочку эксплойтов среди находок, не прошедших проверку поодиночке
Примеры запросов агенту
- Проверь эту находку: переполнение буфера в
parse_header()приcontent_lengthбольше 4096 — это true positive? - Вот список подозрений из аудита, прогони по каждому fp-check и скажи, где ложные срабатывания
- Проверь, эксплуатируема ли эта уязвимость, и обоснуй вердикт доказательствами
Как установить fp-check
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill fp-check -a claude-code2Вручную: положить файлы
~/.claude/skills/fp-check/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/fp-check/
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill fp-check -a codex2Вручную: положить файлы
.agents/skills/fp-check/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill fp-check -a cursor2Вручную: положить файлы
.cursor/skills/fp-check/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install trailofbits/skills fp-check2Вручную: положить файлы
.github/skills/fp-check/SKILL.md1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill fp-check -a gemini-cli2Командой платформы
gemini skills install https://github.com/trailofbits/skills --path plugins/fp-check/skills/fp-checkВручную: положить файлы
.devin/skills/fp-check/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill fp-check -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о fp-check
Как установить fp-check в Claude Code?
Выполните npx skills add trailofbits/skills --skill fp-check -a claude-code. Скилл встанет в ~/.claude/skills/fp-check/SKILL.md.
Что делает fp-check?
Проверяет конкретную заявку на уязвимость и выносит вердикт TRUE POSITIVE или FALSE POSITIVE, подкрепляя его доказательствами. Каждую находку он разбирает по фазам, а не по внешнему виду кода.
fp-check ищет новые баги?
Нет. Он проверяет уже найденные подозрения. Для поиска багов, аудита кода и ревью на стиль или производительность он не подходит.
