К основному содержанию
affpapa.org
RU EN
скилл Claude Code CX Codex Cursor GitHub Copilot

semgrep — скилл для Claude Code: что делает и как установить

Находит уязвимости в кодовой базе с помощью Semgrep. Скилл согласует план проверок и собирает результаты в единый отчёт SARIF.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓ 
npx skills add trailofbits/skills --skill semgrep -a claude-code
Открыть на GitHub

Что делает semgrep

Скилл сканирует репозиторий на известные ошибки безопасности. Сначала он распознаёт языки программирования и проверяет наличие Semgrep Pro для межфайлового анализа. Все команды запускаются с ключом --metrics=off, чтобы телеметрия не уходила на внешние серверы во время аудита.

Сканирование не начнётся без прямого подтверждения плана. Агент формирует список наборов правил — включая базы Trail of Bits, 0xdea и Decurity — и ждёт подтверждения пользователя. Для работы требуется заранее установленный в системе Semgrep CLI.

Поддерживаются два режима: полный прогон со всеми уровнями важности или фильтрация подтверждённых проблем с высоким влиянием. В бесплатной версии Semgrep анализ ограничен пределами одного файла, и межфайловые утечки данных останутся незамеченными. Результаты объединяются в results.sarif внутри рабочей папки ./static_analysis_semgrep_1.

Какие задачи решает

  • провести аудит безопасности кодовой базы перед ревью
  • найти уязвимости с помощью внешних правил Trail of Bits и Decurity
  • собрать разрозненные отчёты Semgrep в общий файл SARIF
  • отфильтровать находки по уровню уверенности и критичности

Примеры запросов агенту

  • Просканируй проект с помощью semgrep в режиме important only
  • Запусти аудит безопасности кода через semgrep и сохрани отчёт в ./audit-results
  • Найди уязвимости в репозитории через Semgrep и покажи план правил

Как установить semgrep

1Через Skills CLI (Vercel)

npx skills add trailofbits/skills --skill semgrep -a claude-code

2Вручную: положить файлы

~/.claude/skills/semgrep/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/semgrep/

Из того же набора35

Весь набор →
differential-review trailofbits Проверяет изменения кода с упором на безопасность, историю Git и покрытие тестами. Нужен для разбора коммитов, различий и пул-реквестов с отчётом. Claude Code CX Codex Cursor +1 8 800установок modern-python trailofbits Настраивает Python-проекты под современный стек инструментов: uv для зависимостей, ruff для линтинга и форматирования, ty для проверки типов. Пригодится при создании новых проектов, написании скриптов и миграции со старых инструментов. Claude Code CX Codex Cursor +1 8 700установок secure-workflow-guide trailofbits Проводит смарт-контракты через пятиэтапный аудит безопасности от Trail of Bits перед деплоем или при коммитах. Запускает статический анализ, строит диаграммы и настраивает фаззинг. Claude Code CX Codex Cursor +1 7 400установок sharp-edges trailofbits Проверяет архитектуру API и схемы конфигураций на скрытые уязвимости интерфейса. Помогает убрать опасные параметры по умолчанию и предотвратить ошибки разработчиков. Claude Code CX Codex Cursor +1 6 900установок agentic-actions-auditor trailofbits Проверяет рабочие процессы GitHub Actions с интеграцией ИИ-агентов на уязвимости и инъекции промптов. Помогает найти утечки контекста через переменные окружения и опасные триггеры. Claude Code CX Codex Cursor +1 6 700установок gh-cli trailofbits Скилл заставляет ИИ использовать аутентифицированный gh CLI вместо curl и fetch при работе с репозиториями, PR и issues GitHub. Нужен для приватных репо и выше лимитов API. Claude Code CX Codex Cursor +1 6 600установок variant-analysis trailofbits Ищет в репозитории другие проявления уже найденной ошибки. Нужен после уязвимости или логического дефекта, когда требуется проверить похожий код. Claude Code CX Codex Cursor +1 6 400установок sarif-parsing trailofbits Разбирает готовые отчёты SARIF от CodeQL, Semgrep и других сканеров. Пригодится для фильтрации находок, удаления дублей и подготовки данных для CI/CD. Claude Code CX Codex Cursor +1 5 900установок

Похожие

codeql официальный github Помогает настроить CodeQL: workflow в GitHub Actions, команды CLI, разбор SARIF и починка упавших проверок. GitHub Copilot 2 000установок omni-auth cheaper-inference Скилл для управления API-ключами и сессиями в OmniRoute. Настраивает Bearer-токены для запросов, получает сессионные куки и конфигурирует вход в Dashboard через пароль или OIDC. Claude Code CX Codex Cursor +1 1 100установок review-agent-setup Tom Farley Скилл настраивает подтверждение действий ИИ-агента человеком перед ревью, слиянием PR и правкой CI. Каждое одобрение или отказ фиксируется криптографической подписью Ed25519. Claude Code CX Codex Cursor 5 200установок audit-website squirrelscan Запускает аудит сайта через утилиту squirrel, находит проблемы SEO, производительности и безопасности, а затем помогает пошагово править код проекта. Claude Code CX Codex Cursor +1 73 900установок google-cloud-filestore-log-troubleshooting официальный google Находит причины сбоев монтирования Google Cloud Filestore, ошибок доступа и сетевых тайм-аутов. Пригодится, если NFS перестал подключаться к VM, поду GKE или другой рабочей среде из списка. Claude Code Gemini CLI CX Codex 1 600установок security-reviewer https://github.com/Jeffallan Ищет уязвимости в коде и инфраструктуре, назначает уровень серьёзности и предлагает исправления. Нужен для аудита, поиска секретов и проверки зависимостей. Claude Code CX Codex Cursor +1 6 000установок git-guardrails-claude-code Matt Pocock Скилл ставит хук Claude Code, который останавливает опасные Git-команды до их запуска. Нужен, если агент не должен делать push или удалять изменения. Claude Code 499 069установок ponytail-review DietrichGebert Скилл проверяет изменения глубже обычного diff: читает связанный код, ищет ошибки, риски, проблемы нагрузки и недостающие тесты. Пригодится для ревью PR и коммитов. Claude Code CX Codex Cursor +1 56 300установок

Вопросы о semgrep

Как установить semgrep в Claude Code?

Выполните команду npx skills add trailofbits/skills --skill semgrep -a claude-code в терминале.

Что делает скилл semgrep?

Он определяет языки проекта, запрашивает одобрение набора проверок, параллельно выполняет сканирование через Semgrep CLI и объединяет результаты в единый SARIF-отчёт.

Чем отличается работа с Semgrep Pro от бесплатной версии?

Версия Pro включает межфайловый анализ потоков данных и расширенный список языков, тогда как базовый открытый движок ищет ошибки только внутри каждого отдельного файла.

Смотрите также

Спонсоры проекта

Компании, которые помогают держать аналитику открытой
Золотой спонсор AI-аналитика спроса на iGaming — индекс, тренды, конкуренты
Nutra.Club Закрытое сообщество Nutra-вертикали от команды M1

Показы, клики и копирования кода — открытая статистика. Мы держим цифры публичными по той же логике, что и сам NeBlask. Стать спонсором