verify-fix — скилл для Codex: что делает и как установить
Проверяет, устраняет ли исправление найденную уязвимость, и возвращает статус строго в JSON. Скилл работает только на чтение и запускается по прямому запросу.
npx skills add openai/plugins --skill verify-fix -a codexЧто делает verify-fix
Скилл запускается только по прямому запросу пользователя (например, через команду $verify-fix), когда нужно проверить закрытие конкретной уязвимости. Он не включается автоматически при обычном ревью кода или запуске юнит-тестов. Общие проверки скиллу не поручают.
Анализ идёт строго в режиме чтения. Скилл не меняет файлы, не фиксирует коммиты и не трогает баг-трекер. Он отслеживает путь эксплуатации до опасного приёмника данных, проверяя перенесённый код и возможные обходы защиты. Тесты запускаются только без правок в кодовой базе.
Итоговый отчёт выдаётся единым JSON-объектом со статусами fixed, still_vulnerable или inconclusive. Если проверка требует модификации файлов или контекст утерян, скилл честно выставит inconclusive. Подгонять статус он не станет.
Какие задачи решает
- проверить закрытие уязвимости по конкретному идентификатору
- убедиться, что патч безопасности не сломал штатную логику
- отследить перемещённый уязвимый код при рефакторинге
- получить структурированный JSON-отчёт с доказательствами исправления
Примеры запросов агенту
- Запусти
$verify-fixдля уязвимости SEC-204 и проверь, закрыт ли эксплойт. - Проверь через
verify-fix, устранён ли баг обхода авторизации после рефакторинга.
Как установить verify-fix
1Через Skills CLI (Vercel)
npx skills add openai/plugins --skill verify-fix -a codex2Вручную: положить файлы
.agents/skills/verify-fix/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add openai/plugins --skill verify-fix -a claude-code2Вручную: положить файлы
~/.claude/skills/verify-fix/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/verify-fix/
Вручную: положить файлы
.cursor/skills/verify-fix/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install openai/plugins verify-fix2Вручную: положить файлы
.github/skills/verify-fix/SKILL.mdКомандой платформы
gemini skills install https://github.com/openai/plugins --path plugins/codex-security/skills/verify-fixВручную: положить файлы
.devin/skills/verify-fix/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Claude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Скиллы Codex: как установить, где лежат и как вызвать
Вопросы о verify-fix
Как установить verify-fix в Codex?
Выполните команду npx skills add openai/plugins --skill verify-fix. Для явного указания агента используйте npx skills add openai/plugins --skill verify-fix -a codex.
Что делает скилл verify-fix?
Он проверяет, действительно ли закрыта найденная уязвимость в текущем репозитории, и формирует отчёт в JSON. Проверка выполняется исключительно в режиме чтения без изменения файлов проекта.
В каких случаях скилл вернёт статус inconclusive?
Статус inconclusive выставляется при несовпадении репозитория, нехватке исходного контекста или невозможности подтвердить защиту без изменения файлов. Скилл не делает допущений при пробелах в доказательствах.
