К основному содержанию
affpapa.org
RU EN
скилл CX Codex

supply-chain-risk-auditor — скилл для Claude Code: аудит зависимостей

Проверяет зависимости проекта на известные уязвимости и признаки риска в цепочке поставок. Пригодится перед аудитом или проверкой дерева пакетов.

Установить в Claude Code · Через Skills CLI (Vercel) Все способы и платформы ↓ 
npx skills add trailofbits/skills --skill supply-chain-risk-auditor -a claude-code
Открыть на GitHub

Что делает supply-chain-risk-auditor

Скилл собирает отчёт по прямым зависимостям из npm, PyPI и Go, а также ищет уязвимости среди версий из поддерживаемых lock-файлов. Проверка охватывает заброшенные и архивные проекты, концентрацию издателей npm и скрипты, запускаемые при установке. Для сбора и оформления результатов используются collect.py и render.py.

Для работы нужны манифесты проекта, uv и авторизация GitHub CLI через gh auth status: без авторизации часть критериев репозиториев может остаться непроверенной. Скилл не устанавливает и не собирает зависимости, а также не проверяет исходный код проекта. Он не читает yarn.lock, pnpm-lock.yaml и poetry.lock, поэтому версии могут определяться по другим данным.

Какие задачи решает

  • проверить прямые зависимости и версии из lock-файла на уязвимости
  • найти заброшенные или архивные зависимости
  • оценить концентрацию издателей npm
  • выявить скрипты, запускаемые при установке
  • подготовить отчёт с данными для каждого вывода

Примеры запросов агенту

  • Проведи аудит зависимостей этого проекта на риски цепочки поставок.
  • Проверь уязвимости в прямых и транзитивных зависимостях и подготовь отчёт.
  • Оцени, какие зависимости заброшены и какие запускают скрипты при установке.

Как установить supply-chain-risk-auditor

1Через Skills CLI (Vercel)

npx skills add trailofbits/skills --skill supply-chain-risk-auditor -a claude-code

2Вручную: положить файлы

~/.claude/skills/supply-chain-risk-auditor/SKILL.md

Папка скилла целиком; для одного проекта — .claude/skills/supply-chain-risk-auditor/

По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов

Вопросы о supply-chain-risk-auditor

Как установить supply-chain-risk-auditor в Claude Code?

Выполните npx skills add trailofbits/skills --skill supply-chain-risk-auditor -a claude-code. Файл скилла появится по пути ~/.claude/skills/supply-chain-risk-auditor/SKILL.md.

Что делает supply-chain-risk-auditor?

Собирает отчёт о рисках зависимостей из npm, PyPI и Go: проверяет рекомендации по безопасности, состояние upstream-проектов и другие признаки риска в цепочке поставок.

Какие lock-файлы проверяет скилл?

Он использует package-lock.json, npm-shrinkwrap.json, uv.lock и go.mod версии Go 1.17 или новее. yarn.lock, pnpm-lock.yaml и poetry.lock не читаются.

Похожие скиллы

Все скиллы по теме «Безопасность» →
git-guardrails-claude-code Matt Pocock Скилл ставит хук Claude Code, который останавливает опасные Git-команды до их запуска. Нужен, если агент не должен делать push или удалять изменения. 499 069установок ponytail-review DietrichGebert Скилл проверяет изменения глубже обычного diff: читает связанный код, ищет ошибки, риски, проблемы нагрузки и недостающие тесты. Пригодится для ревью PR и коммитов. CX Codex +1 57 000установок ponytail-audit DietrichGebert Проверяет репозиторий и ранжирует ошибки, риски и лишний код. Подойдёт, если нужен разовый разбор без автоматических правок. CX Codex +1 45 400установок security-audit cloudflare Проверяет кодовую базу на уязвимости и ищет нарушения границ доверия. Пригодится перед релизом или для точечного разбора опасных участков кода. CX Codex +1 54 800установок security-and-hardening addyosmani Помогает проектировать защиту и проверять код на уязвимости при работе с вводом, авторизацией, сессиями и внешними сервисами. Подойдёт перед релизом и при создании функций, которые обрабатывают недоверенные данные. CX Codex +1 70 200установок supabase официальный supabase Скилл помогает настраивать базу данных, аутентификацию и RLS в Supabase без скрытых дыр в безопасности. CX Codex GP ChatGPT 8установок

Из того же набора77

semgrep Находит уязвимости в кодовой базе с помощью Semgrep. Скилл согласует план проверок и собирает результаты в единый отчёт SARIF. CX Codex +1 9 500установок differential-review Проверяет изменения кода с упором на безопасность, историю Git и покрытие тестами. Нужен для разбора коммитов, различий и пул-реквестов с отчётом. CX Codex +1 8 800установок modern-python Настраивает Python-проекты под современный стек инструментов: uv для зависимостей, ruff для линтинга и форматирования, ty для проверки типов. Пригодится при создании новых проектов, написании скриптов и миграции со старых инструментов. CX Codex +1 8 700установок codeql Запускает межпроцедурный статический анализ кода и отслеживание потоков данных через CodeQL. Помогает находить уязвимости в девяти языках программирования. CX Codex +1 8 300установок secure-workflow-guide Проводит смарт-контракты через пятиэтапный аудит безопасности от Trail of Bits перед деплоем или при коммитах. Запускает статический анализ, строит диаграммы и настраивает фаззинг. CX Codex +1 7 400установок code-maturity-assessor Скилл проверяет зрелость смарт-контрактов и блокчейн-кода по девяти категориям. На выходе — оценки с обоснованием и план улучшений по приоритету. CX Codex +1 7 100установок property-based-testing Скилл помогает создавать и проверять property-based-тесты для целого диапазона входных значений. Пригодится для сериализаторов, парсеров и инвариантов смарт-контрактов. CX Codex +1 7 000установок fp-check Разбирает подозрительную уязвимость по шагам и выносит вердикт TRUE POSITIVE или FALSE POSITIVE с доказательствами. Нужен, когда находку надо подтвердить, а не искать новые. CX Codex +1 7 000установок

Спонсоры проекта

Компании, которые помогают держать аналитику открытой
Золотой спонсор AI-аналитика спроса на iGaming — индекс, тренды, конкуренты
Nutra.Club Закрытое сообщество Nutra-вертикали от команды M1

Показы, клики и копирования кода — открытая статистика. Мы держим цифры публичными по той же логике, что и сам NeBlask. Стать спонсором