# security-audit

Скилл для проверки безопасности кода, инфраструктуры и конфигов ИИ-агентов по OWASP, CWE и CVSS. Пригодится перед релизом или когда нужно разобрать чужой проект.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 698 установок · ★ 48
- Автор: Netresearch DTT GmbH
- Лицензия: не указана · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/netresearch/security-audit-skill/tree/HEAD/skills/security-audit/SKILL.md
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/skills/netresearch-dtt-gmbh-security-audit

## Что делает

Скилл собирает паттерны аудита: OWASP Top 10, LLM Top 10 2025, CWE Top 25 2025 и оценку уязвимостей по CVSS v3.1/v4.0. Покрывает типовые дыры — XXE, SQLi, XSS, CSRF, инъекции команд, path traversal, загрузку файлов, десериализацию, SSRF, JWT и type juggling.

Основной объём — PHP и TYPO3: больше 80 контрольных точек, файл `typo3-security.md` описывает проверки для v14.3 LTS. Есть отдельные справки по AWS, Terraform, Kubernetes, Docker и Helm, по REST/GraphQL, CSP и DOM-XSS, а также по конфигам агентов — `SKILL.md`, `AGENTS.md`, `CLAUDE.md`, `mcp.json`, `hooks.json` — с разбором prompt injection и избыточных полномочий. В комплекте чек-лист и три скрипта: диспетчер определяет стек по файлам-индикаторам и запускает нужный сканер из 13 экосистем, есть PHP-вариант и проверка репозитория GitHub.

Для работы нужны `grep`, `jq` и `gh CLI` — без них скрипты не отработают. Отдельного сканера скилл не содержит: пункты чек-листа про `semgrep`, `trivy` и `gitleaks` предполагают, что вы поставите их сами. В `GitHub Actions` подстановка `${{ inputs.* }}` и `${{ github.event.* }}` в `run:` недопустима, значения передавайте через `env:` — это правило вшито прямо в инструкцию скилла.

## Требования
- Работает с: AWS, Docker, Kubernetes

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add netresearch/security-audit-skill --skill security-audit -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/security-audit/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/security-audit/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add netresearch/security-audit-skill --skill security-audit -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/security-audit/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add netresearch/security-audit-skill --skill security-audit -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/security-audit/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install netresearch/security-audit-skill security-audit
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/security-audit/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add netresearch/security-audit-skill --skill security-audit -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/netresearch/security-audit-skill --path skills/security-audit
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/security-audit/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add netresearch/security-audit-skill --skill security-audit -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/netresearch/security-audit-skill/tree/HEAD/skills/security-audit/SKILL.md

## Когда брать
- проверить PHP-проект на типовые дыры перед релизом
- прогнать конфиги агента на prompt injection и лишние права
- оценить уязвимость по CVSS и расставить приоритеты
- найти открытые секреты в истории git
- проверить Terraform и Kubernetes-манифесты на слабые места

## Примеры запросов агенту
- Прогони аудит безопасности в `/path/to/project` и покажи находки по OWASP Top 10
- Проверь `CLAUDE.md` и `mcp.json` на prompt injection и избыточные полномочия
- Оцени эти уязвимости по CVSS v4.0 и скажи, что чинить первым

## Похожие
- [git-guardrails-claude-code](https://affpapa.org/nevibecode/skills/git-guardrails-claude-code.md) — скилл · 499069 установок
- [ponytail-review](https://affpapa.org/nevibecode/skills/ponytail-review.md) — скилл · 57000 установок
- [ponytail-audit](https://affpapa.org/nevibecode/skills/ponytail-audit.md) — скилл · 45400 установок
- [security-audit](https://affpapa.org/nevibecode/skills/cloudflare-security-audit.md) — скилл · 54800 установок
- [security-and-hardening](https://affpapa.org/nevibecode/skills/security-and-hardening.md) — скилл · 70200 установок
- [supabase](https://affpapa.org/nevibecode/skills/supabase.md) — скилл · 8 установок

## Другие версии с тем же именем
- [security-audit · cloudflare](https://affpapa.org/nevibecode/skills/cloudflare-security-audit.md) — 54800 установок
- [security-audit · donchitos](https://affpapa.org/nevibecode/skills/donchitos-security-audit.md) — 416 установок
- [security-audit · decebals](https://affpapa.org/nevibecode/skills/decebals-security-audit.md) — 309 установок

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md