codeql · trailofbits — скилл для Claude Code: что делает и как установить
Запускает межпроцедурный статический анализ кода и отслеживание потоков данных через CodeQL. Помогает находить уязвимости в девяти языках программирования.
npx skills add trailofbits/skills --skill codeql -a claude-codeЧто делает codeql
Скилл автоматизирует полный цикл работы с CodeQL. Он создаёт базу фактов о проекте, формирует модели источников и стоков данных, а затем выполняет запросы. Поддерживаются два режима: полный аудит с проверками качества и экспериментальными правилами либо точечный прогон по критическим проблемам. Все артефакты и логи сохраняются в каталоге static_analysis_codeql_1 в формате SARIF.
Для компилируемых проектов на C/C++, Go, Java, C# и Swift требуется успешная сборка. Ошибка 137 на macOS Apple Silicon означает не сбой сборки, а конфликт архитектур arm64e и arm64. Проблема решается переходом на бинарники Homebrew или запуском под Rosetta. Перед анализом встроенные скрипты обязательно проверяют полноту извлечения фактов, чтобы исключить пустые базы из-за кэширования.
Скилл сам описывает нестандартные источники и стоки данных. Без проектных расширений CodeQL пропускает цепочки вызовов во фреймворках вроде Django, Spring или Express.
Какие задачи решает
- Найти уязвимости в кодовой базе через анализ потоков данных
- Собрать базу данных CodeQL с контролем качества извлечения
- Описать проектные источники и стоки для фреймворков вроде Spring или Express
- Выгрузить отчёт об уязвимостях в формате SARIF
Примеры запросов агенту
- Просканируй репозиторий с помощью CodeQL и найди уязвимости
- Собери базу CodeQL для проекта и запусти режим важных проверок
- Выполни анализ потоков данных и проверь качество собранной базы
Как установить codeql
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill codeql -a claude-code2Вручную: положить файлы
~/.claude/skills/codeql/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/codeql/
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill codeql -a codex2Вручную: положить файлы
.agents/skills/codeql/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill codeql -a cursor2Вручную: положить файлы
.cursor/skills/codeql/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install trailofbits/skills codeql2Вручную: положить файлы
.github/skills/codeql/SKILL.md1Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill codeql -a gemini-cli2Командой платформы
gemini skills install https://github.com/trailofbits/skills --path plugins/static-analysis/skills/codeqlВручную: положить файлы
.devin/skills/codeql/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add trailofbits/skills --skill codeql -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о codeql
Как установить codeql в Claude Code?
Выполните команду npx skills add trailofbits/skills --skill codeql -a claude-code.
Чем codeql отличается от semgrep?
Скилл semgrep быстрее ищет шаблоны в отдельных файлах без компиляции проекта. CodeQL выполняет глубокий межпроцедурный анализ потоков данных, но требует честной сборки для компилируемых языков.
Какие языки поддерживает этот скилл?
Анализ работает для Python, JavaScript, TypeScript, Go, Java, Kotlin, C, C++, C#, Ruby и Swift.
Похожие скиллы
Всё по теме «Безопасность» →Сначала — codeql от других авторов.
