Skills Guide

Audit de sécurité RLM local

VérifiéPrudence

Exécutez des audits de sécurité locaux avec RLM/DSPy pour de grands codes .NET. Générez des rapports markdown/JSON sans charger l'intégralité du code en contexte.

Télécharger et utiliser
Spar Skills Guide Bot
SecuriteAvancé
23/07/2026
Claude CodeCodexCursor
#security-audit#dotnet#dspy-rlm#local-llm#static-analysis

Recommandé pour

Claude CodeCursorCodex

Synthèse automatique

Pilote audit.py, un workflow DSPy RLM local et respectueux de la vie privée, pour rechercher des vulnérabilités dans de grands dépôts .NET legacy sans charger tout le code dans le contexte du modèle.

Points forts

  • Donne des valeurs de réglage concrètes (itérations, appels LLM, limites d'outils, timeouts) pour les gros dépôts legacy
  • Conserve l'analyse en local via un endpoint modèle auto-hébergé, adapté aux contraintes de confidentialité
  • Décrit les sorties attendues (rapport markdown, métadonnées JSON, manifeste JSONL) et la structure des sections du rapport
  • Fournit une procédure de dépannage ciblée pour les blocages, la troncature et les erreurs d'accès aux fichiers

Limites

  • Suppose un environnement déjà installé (Deno, Python, audit.py, endpoint modèle sur localhost:8000) que le skill ne couvre pas
  • Les plages de paramètres sont indicatives et doivent être ajustées empiriquement selon la taille du dépôt
  • Ne détaille pas les règles de détection ni la qualité des résultats; l'accent porte sur l'exécution et le réglage
Quand l'utiliser

À utiliser lorsqu'il faut lancer ou débloquer un audit de sécurité RLM local sur un gros dépôt .NET et produire un rapport exploitable avec preuves fichier/ligne.

Quand l'éviter

À éviter si aucun endpoint de modèle local ni audit.py ne sont disponibles, ou pour un scan rapide d'un petit projet où une analyse statique classique suffit.

Analyse de sécurité

Prudence
Score qualité82/100

The skill is a legitimate security-audit workflow and does not instruct destructive actions, secret exfiltration, obfuscated payloads, or disabling safety. Risk is moderate because it tells the agent to execute an external Python script and use model/tooling infrastructure, so trust and endpoint configuration matter.

Points d'attention
  • •Instructs running an external `audit.py` from a GitHub repository, introducing supply-chain and code-execution risk if the repository/script is not trusted or pinned.
  • •Uses a model endpoint (default localhost) and repository scanning tools, so code may be processed by a local or configured LLM service; privacy depends on endpoint configuration.
  • •Relies on `deno` and Python execution for tool-driven auditing; legitimate but powerful local tooling.
Comment cette analyse est faite

Exemples

Baseline audit
Run a baseline security audit on the repo at /srv/repos/legacy-billing with AUDIT_VERBOSE=1, then confirm security_audit_report.md, security_audit_metadata.json and security_audit_manifest.jsonl were produced.
Tune for a huge legacy repo
This .NET repo is very large and the audit keeps churning. Re-run audit.py with --max-iterations 10, --rlm-max-llm-calls 80, --rlm-max-output-chars 20000, --tool-max-lines 300, --search-max-files 1500 and --timeout-seconds 1200.
Troubleshoot a stall
The audit appears stalled and the model output is getting truncated. Enable verbose mode, lower --max-iterations and --rlm-max-output-chars, raise --lm-max-tokens if the backend supports it, then re-run.

name: security-audit-rlm description: Run and troubleshoot privacy-preserving, local DSPy RLM security audits for large legacy .NET codebases. Use when asked to scan repositories for vulnerabilities, tune RLM/tool limits, fix truncation/stall issues, or produce actionable markdown/json audit outputs without loading entire codebases into model context.

Security Audit RLM

Use this skill to operate audit.py as a tool-driven RLM workflow for large repositories.

Repository: https://github.com/mitkox/megacode

Execute

  1. Verify prerequisites:
    • deno --version
    • model endpoint is reachable (default http://localhost:8000/v1)
  2. Run a baseline audit:
    • AUDIT_VERBOSE=1 python audit.py --source-root <repo-path>
  3. Confirm outputs:
    • security_audit_report.md
    • security_audit_metadata.json
    • security_audit_manifest.jsonl

Tune For Large Legacy Repos

  • Lower planner churn:
    • --max-iterations 8..12
    • --rlm-max-llm-calls 60..100
  • Bound REPL noise:
    • --rlm-max-output-chars 15000..30000
  • Bound tool payloads:
    • --tool-max-lines 200..400
    • --tool-max-chars 20000..40000
    • --search-max-files 800..2000
    • --search-max-matches 200..600
  • Control runtime:
    • --timeout-seconds 600..1800
    • --retries 1..2

Operating Rules

  • Keep analysis local when privacy constraints require it.
  • Use RLM tool access, not full-context repository injection.
  • Keep intermediate output concise and deterministic.
  • Prioritize high-severity findings with file/line evidence and concrete fixes.

Troubleshooting

  • If run appears stalled:
    • enable verbose mode
    • reduce --max-iterations
    • reduce --rlm-max-output-chars
  • If model truncates:
    • raise --lm-max-tokens if backend supports it
    • reduce tool output and iteration count
  • If path/file access errors appear in RLM steps:
    • ensure tool-only repository access is used by the audit flow
    • re-run after confirming current audit.py includes list_manifest/read_file/search_pattern tools

Deliverable Format

Ensure report sections remain:

  1. Executive Summary
  2. Critical Findings (CRITICAL/HIGH)
  3. Other Findings (MEDIUM/LOW)
  4. Remediation

Du fichier au premier essai

Le téléchargement contient exactement le contenu affiché sur cette fiche. Cette copie peut différer de la dernière version du dépôt source.

Consulter la source et ses fichiers annexes

Ce téléchargement contient uniquement SKILL.md. Les scripts, références, modèles et dépendances éventuels ne sont pas inclus. Récupérez les fichiers nécessaires depuis la source en conservant leur arborescence avant de poursuivre.

1. Télécharger le fichier

Télécharger SKILL.md

Depuis la racine d’un projet de test, enregistrez le fichier sous .skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md, ou utilisez la commande suivante. Ce dossier sert à examiner la skill avant son installation.

Commande pour macOS/Linux ou WSL : un shell POSIX et curl sont nécessaires. Sous Windows sans WSL, utilisez le bouton de téléchargement et créez le dossier manuellement.

mkdir -p '.skill-downloads/local-rlm-security-audit-mrx3y0ju' && curl --fail --show-error --location 'https://skills-guides.com/api/skills/local-rlm-security-audit-mrx3y0ju/download' --output '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md.part' && mv '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md.part' '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md'

2. Vérifier les prérequis

Lisez SKILL.md avant de l’utiliser. Si le fichier cite des scripts ou services externes, examinez-les et préparez les accès nécessaires dans votre environnement de test.

Aucune section de prérequis reconnue dans ce fichier. Cela ne signifie pas qu’il est autonome : les bibliothèques, outils et accès peuvent être cités ailleurs dans le contenu ou dans le dépôt source.

Les plateformes de la fiche sont des indications du catalogue. Les chemins ci-dessous suivent la documentation des outils ; ils ne prouvent pas que cette skill y a été exécutée. Aucune version minimale de ces outils n’est attestée pour cette fiche.

3. Charger la skill

Après vérification, copiez le dossier complet dans le projet avec l’une des commandes ci-dessous, puis ouvrez une nouvelle session de l’outil. La commande s’arrête si un dossier du même nom existe déjà : comparez les fichiers avant de le remplacer.

Claude Code
test -f '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && test -s '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && mkdir -p '.claude/skills' && test ! -e '.claude/skills/security-audit-rlm' && cp -R '.skill-downloads/local-rlm-security-audit-mrx3y0ju' '.claude/skills/security-audit-rlm'

Cursor
test -f '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && test -s '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && mkdir -p '.cursor/skills' && test ! -e '.cursor/skills/security-audit-rlm' && cp -R '.skill-downloads/local-rlm-security-audit-mrx3y0ju' '.cursor/skills/security-audit-rlm'

Codex
test -f '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && test -s '.skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md' && mkdir -p '.agents/skills' && test ! -e '.agents/skills/security-audit-rlm' && cp -R '.skill-downloads/local-rlm-security-audit-mrx3y0ju' '.agents/skills/security-audit-rlm'

OpenSkills

OpenSkills doit déjà être installé. La procédure locale install/read est contrôlée avec OpenSkills 1.5.0, qui exige Node.js ≥ 20.6.0. Aucun slug du catalogue n’est résolu automatiquement.

Installation officielle d’OpenSkills
openskills install './.skill-downloads/local-rlm-security-audit-mrx3y0ju'

openskills read 'local-rlm-security-audit-mrx3y0ju'

La lecture doit afficher le contenu du fichier installé et son dossier de base. Elle ne lance ni la skill ni ses dépendances.

Pour un agent qui lit AGENTS.md, synchronisez ensuite l’index. Cette commande modifie AGENTS.md : relisez le diff avant de l’utiliser.

openskills sync

Mode manuel ou autre outil : joignez SKILL.md à une conversation, ou ouvrez-le dans un agent capable de lire les fichiers. Ajoutez les ressources annexes nécessaires. Il n’existe pas de dossier universel reconnu par tous les outils.

4. Faire un premier essai

Utilisez une entrée courte et fictive : un endpoint d’API, un petit document ou un brief d’interface. Dans une nouvelle conversation, joignez le fichier ou donnez son chemin à l’agent, puis adaptez cette demande :

Lis .skill-downloads/local-rlm-security-audit-mrx3y0ju/SKILL.md et applique ses instructions à cet exemple : [décrire une entrée de test]. Indique les fichiers, dépendances ou accès qui manquent. Produis le résultat demandé par la skill sans inventer de données ni exécuter de script non examiné.

Résultat attendu : une sortie correspondant aux instructions de la skill, ou une liste précise des prérequis manquants. Une simple confirmation de lecture ne valide pas le premier usage. Si une ressource externe est indisponible, ce parcours reste à tester.

Skills similaires

Sécurité AMM DeFi

Securite

Checklist de sécurité pour les contrats Solidity AMM, pools de liquidité et flux de swap. Couvre réentrance, attaques par donation, manipulation d'oracles, etc.

Claude CodeCursorCodexadvancedSûr 243,989
Skills Guide Bot

Créateur de règles Semgrep

Securite

Crée des règles Semgrep personnalisées pour détecter des vulnérabilités de sécurité, des motifs de bugs et des motifs de code. Inclut une méthodologie de test en premier, le support du mode taint et des étapes de validation. Utile pour construire des détections d'analyse statique ciblées.

Claude CodeintermediateSûr 21,468
Skills Guide Bot

Revue barre d'outils développement

Securite

Règles de sécurité pour la barre d'outils de développement, le client PostHog et les feature flags. À utiliser lors de la revue de modifications des composants dev-tools et connexes.

Claude CodeCursorCodexintermediateSûr 108,624
Skills Guide Bot