security-scanning — скилл для Claude Code: что делает и как установить
Помогает настроить проверки безопасности в CI: поиск секретов, SAST, анализ лицензий и устаревших зависимостей. Пригодится для выстраивания пайплайнов с учётом рисков.
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a claude-codeЧто делает security-scanning
Скилл задаёт правила безопасности для пайплайнов непрерывной интеграции. Он фокусируется на утечках секретов, статическом анализе кода и проверке зависимостей. Для секретов действует принцип быстрой остановки сборки при их обнаружении. SAST настраивается по принципу постепенного ужесточения правил.
Оценка сторонних компонентов строится по трём осям. Учитываются тип лицензии, взвешенный по критичности балл уязвимостей CVE и степень устаревания версии. Компоненты с сильным копилефтом уровня GPL или LGPL считаются высоким риском. Если лицензия неизвестна или помечена как NOASSERTION, система сразу относит её к высокому уровню опасности.
Критичные и высокие уязвимости блокируют сборку. Исключения разрешены только при наличии конкретной причины, владельца и срока действия. К скиллу прилагаются справочные файлы по матрице инструментов, рабочим процессам CI и модели доверия к транзитивным зависимостям.
Какие задачи решает
- настроить блокировку сборок при обнаружении секретов
- фильтровать зависимости по взвешенной критичности CVE
- проверять сторонние библиотеки на риски лицензий GPL и AGPL
- оформить временные исключения с указанием владельца и срока действия
Примеры запросов агенту
- Проверь наш CI-конфиг на соответствие правилам безопасности зависимостей
- Помоги оформить исключение для уязвимости с указанием срока и владельца
- Оцени риски сторонней библиотеки с лицензией MPL
Как установить security-scanning
1Через Skills CLI (Vercel)
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a claude-code2Вручную: положить файлы
~/.claude/skills/security-scanning/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/security-scanning/
1Через Skills CLI (Vercel)
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a codex2Вручную: положить файлы
.agents/skills/security-scanning/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a cursor2Вручную: положить файлы
.cursor/skills/security-scanning/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install bobmatnyc/claude-mpm-skills security-scanning2Вручную: положить файлы
.github/skills/security-scanning/SKILL.md1Через Skills CLI (Vercel)
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a gemini-cli2Командой платформы
gemini skills install https://github.com/bobmatnyc/claude-mpm-skills --path universal/security/security-scanningВручную: положить файлы
.devin/skills/security-scanning/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о security-scanning
Как установить security-scanning в Claude Code?
Выполните команду npx skills add bobmatnyc/claude-mpm-skills --skill security-scanning -a claude-code. Файл навыка сохранится в директории ~/.claude/skills/security-scanning/SKILL.md.
Что делает скилл security-scanning?
Он даёт агенту инструкции по настройке проверок безопасности в CI. Это включает выявление секретов, запуск SAST, анализ лицензий и оценку уязвимостей зависимостей.
Как оформляются исключения для найденных уязвимостей?
Каждое исключение требует обязательного указания причины, ответственного владельца и срока истечения. Без этих трёх условий обход блокировки не допускается.
Исходный текст
SKILL.md · MIT
---
name: security-scanning
description: "CI security scanning: secrets, deps, SAST, triage, expiring exceptions"
user-invocable: false
disable-model-invocation: true
license: MIT
compatibility: claude-code
metadata:
version: 1.2.0
category: universal
author: Claude MPM Team
updated: "2026-06-15"
progressive_disclosure:
entry_point:
summary: "Baseline CI scans (secrets, deps, SAST) with triage and expiring exceptions"
tags: [security, scanning]
---
# Security Scanning
## Quick Start
- Secrets: fail fast; rotate on exposure.
- Dependencies: gate critical/high; automate updates.
- SAST: start high-signal; ratchet over time.
- Open Source Safety: score components on three axes — license tier, severity-weighted CVEs, obsolescence.
- Exceptions: require reason, owner, and expiry.
## Open Source Safety
Third-party component risk is more than "vulnerable: yes/no". Evaluate each component on
three independent dimensions and gate on the worst:
- **License risk:** HIGH = strong copyleft / GPL/AGPL/LGPL (whole-app disclosure risk);
MEDIUM = weak copyleft / MPL, EPL (modification disclosure only); LOW = permissive /
MIT, Apache-2.0, BSD. Unknown/`NOASSERTION` → treat as HIGH until identified.
- **CVE weighting:** weight by severity (critical ≫ high ≫ medium ≫ low) rather than raw
counts; critical/high block, medium/low track with owner + expiry.
- **Obsolescence:** score the gap to latest version; majors-behind or unmaintained
upstream is elevated risk.
See `references/open-source-safety.md` for the full framework, tier tables, the CVE
weighting model, obsolescence scoring, and the transitive-dependency trust model.
## Load Next (References)
- `references/tooling-matrix.md`
- `references/ci-workflows.md`
- `references/triage-and-remediation.md`
- `references/common-findings-and-fixes.md`
- `references/supply-chain-and-sbom.md`
- `references/open-source-safety.md`
© Claude MPM Team · MIT · bobmatnyc/claude-mpm-skills
