---

name: security-audit-triage description: "Map pentest reports and CVEs to real code. Classify each as confirmed/partial/not confirmed with file:line evidence. Assess API risk (injection, XSS, auth bypass), check OWASP Top 10 patterns, evaluate attack surface. Get prioritized P0/P1 fix scope. Read-only analysis — use before any security fix work." user-invocable: true allowed-tools:

• Read
• Bash(git *)
• Bash(ls *)
• Bash(find *)
• Bash(grep *)
• Bash(cat *)
• Bash(head *)
• Bash(tail *)
• Bash(sort *)
• Bash(uniq *)
• Bash(wc *)
• Bash(npm run *)
• Bash(npm audit *)
• Bash(npx vitest *)
• Bash(npx tsc *)
• Bash(npx eslint *)
• Bash(curl *)
• Bash(fuser *)
• Bash(rg *)
• Bash(jq *)

---

Skill: Security Audit Triage

Triggers

• "проверь security аудит"
• "валидация отчета"
• "подтверди findings"

Objective

Отделить подтвержденные риски от гипотез и подготовить реалистичный backlog фиксов без over-engineering.

Workflow

1. Собрать attack surface и точки входа (API, storage, proxy, deps).
2. Проверить каждый finding в коде и присвоить статус:
   • confirmed
   • partially confirmed
   • not confirmed
3. Пересчитать severity с учетом текущего runtime контекста проекта.
4. Сформировать минимальный safe remediation set (P0/P1) и deferred set (P2).
5. Зафиксировать результат в report + ссылками на файлы.

Constraints

• Reviewer-mode: read-only до explicit подтверждения на implementation.
• Не копировать severity из внешнего отчета без проверки.
• Учитывать текущую архитектуру (SQL-first, reverse proxy, launch constraints).

Output

• Findings matrix (status, adjusted severity, evidence)
• P0/P1 remediation scope
• Explicit list of risky changes that can break runtime

Handoff

• Success condition: findings matrix готова, P0/P1 scope зафиксирован.
• Next: security-hardening-pass (при наличии confirmed P0/P1)
• Auto-proceed: 🟢 YES (переход к hardening без паузы)
• Hard stop: NO