Skills Guide

Tri d'audit de sécurité

VérifiéPrudence

Faire correspondre les rapports de pentest et CVE au code, classer les résultats avec preuves, évaluer les risques API et obtenir un scope de correctifs priorisé. Analyse en lecture seule avant correctifs de sécurité.

Télécharger et utiliser
Spar Skills Guide Bot
SecuriteIntermédiaire
24/07/2026
Claude Code
#security-audit#vulnerability-triage#owasp#pentest#static-analysis

Recommandé pour

Claude Code

Synthèse automatique

Analyse en lecture seule qui confronte un rapport de pentest ou des CVE au code réel pour classer chaque finding en confirmé, partiellement confirmé ou non confirmé, avec preuves fichier:ligne.

Points forts

  • Attribue un statut à chaque finding à partir du code, au lieu de recopier les sévérités du rapport externe
  • Couvre la surface d'attaque (API, stockage, proxy, dépendances) et les motifs OWASP Top 10, avec injection, XSS et contournement d'authentification
  • Produit une matrice de findings, un périmètre de remédiation P0/P1 et la liste explicite des changements risqués pour le runtime
  • Reste strictement read-only tant que l'implémentation n'est pas explicitement approuvée

Limites

  • Ne corrige rien : la sortie s'arrête à l'analyse et au backlog de correctifs
  • Pas d'exploitation ni de test dynamique, seulement lecture de code et commandes shell autorisées
  • Les déclencheurs et étapes du workflow sont rédigés en russe
  • La pertinence dépend fortement de la qualité du rapport ou des CVE fournis en entrée
Quand l'utiliser

À utiliser avant d'ouvrir des tickets de correctifs, pour vérifier quels findings d'un rapport de pentest ou quelles CVE concernent réellement le code du projet.

Quand l'éviter

À ne pas utiliser pour appliquer les correctifs, réaliser un pentest dynamique ou auditer en masse l'ensemble des dépendances.

Analyse de sécurité

Prudence
Score qualité80/100

The skill is framed as a read-only security triage workflow and contains no destructive, obfuscated, or exfiltration instructions. However, its declared tool permissions include powerful execution and network capabilities such as curl, npm run, npx, and fuser. These are legitimate for security analysis but could be misused, so the listing warrants caution rather than a safe rating.

Points d'attention
  • •Allowed Bash(curl *) permits arbitrary network requests and could be misused for data exfiltration, despite the skill's read-only framing.
  • •Allowed Bash(npm run *) and Bash(npx vitest/tsc/eslint *) can execute project scripts or fetched packages, which may run arbitrary code.
  • •Allowed Bash(fuser *) can terminate processes if used with options like -k, which is not clearly restricted by the read-only description.
  • •The tool allowlist is broader than the stated read-only analysis intent and is not technically enforced by the skill instructions.
Comment cette analyse est faite

Exemples

Validate a pentest report
Here is the summary section of our pentest report: [paste findings]. Map each finding to the actual code, mark it as confirmed / partially confirmed / not confirmed with file:line evidence, and give me a realistic P0/P1 fix scope.
Check a flagged CVE
CVE-2024-21538 was flagged in our dependency tree. Check whether the vulnerable code path is actually reachable in this repo, assign a status with evidence, and tell me if it is P0/P1 or can be deferred.
Russian trigger
Проверь security аудит: подтверди findings из отчёта, оцени поверхность атаки по API и выдай матрицу со статусами и ссылками на файлы.

name: security-audit-triage description: "Map pentest reports and CVEs to real code. Classify each as confirmed/partial/not confirmed with file:line evidence. Assess API risk (injection, XSS, auth bypass), check OWASP Top 10 patterns, evaluate attack surface. Get prioritized P0/P1 fix scope. Read-only analysis — use before any security fix work." user-invocable: true allowed-tools:

  • Read
  • Bash(git *)
  • Bash(ls *)
  • Bash(find *)
  • Bash(grep *)
  • Bash(cat *)
  • Bash(head *)
  • Bash(tail *)
  • Bash(sort *)
  • Bash(uniq *)
  • Bash(wc *)
  • Bash(npm run *)
  • Bash(npm audit *)
  • Bash(npx vitest *)
  • Bash(npx tsc *)
  • Bash(npx eslint *)
  • Bash(curl *)
  • Bash(fuser *)
  • Bash(rg *)
  • Bash(jq *)

Skill: Security Audit Triage

Triggers

  • "проверь security аудит"
  • "валидация отчета"
  • "подтверди findings"

Objective

Отделить подтвержденные риски от гипотез и подготовить реалистичный backlog фиксов без over-engineering.

Workflow

  1. Собрать attack surface и точки входа (API, storage, proxy, deps).
  2. Проверить каждый finding в коде и присвоить статус:
    • confirmed
    • partially confirmed
    • not confirmed
  3. Пересчитать severity с учетом текущего runtime контекста проекта.
  4. Сформировать минимальный safe remediation set (P0/P1) и deferred set (P2).
  5. Зафиксировать результат в report + ссылками на файлы.

Constraints

  • Reviewer-mode: read-only до explicit подтверждения на implementation.
  • Не копировать severity из внешнего отчета без проверки.
  • Учитывать текущую архитектуру (SQL-first, reverse proxy, launch constraints).

Output

  • Findings matrix (status, adjusted severity, evidence)
  • P0/P1 remediation scope
  • Explicit list of risky changes that can break runtime

Handoff

  • Success condition: findings matrix готова, P0/P1 scope зафиксирован.
  • Next: security-hardening-pass (при наличии confirmed P0/P1)
  • Auto-proceed: 🟢 YES (переход к hardening без паузы)
  • Hard stop: NO

Du fichier au premier essai

Le téléchargement contient exactement le contenu affiché sur cette fiche. Cette copie peut différer de la dernière version du dépôt source.

Consulter la source et ses fichiers annexes

Ce téléchargement contient uniquement SKILL.md. Les scripts, références, modèles et dépendances éventuels ne sont pas inclus. Récupérez les fichiers nécessaires depuis la source en conservant leur arborescence avant de poursuivre.

1. Télécharger le fichier

Télécharger SKILL.md

Depuis la racine d’un projet de test, enregistrez le fichier sous .skill-downloads/security-audit-triage-mryiqgxf/SKILL.md, ou utilisez la commande suivante. Ce dossier sert à examiner la skill avant son installation.

Commande pour macOS/Linux ou WSL : un shell POSIX et curl sont nécessaires. Sous Windows sans WSL, utilisez le bouton de téléchargement et créez le dossier manuellement.

mkdir -p '.skill-downloads/security-audit-triage-mryiqgxf' && curl --fail --show-error --location 'https://skills-guides.com/api/skills/security-audit-triage-mryiqgxf/download' --output '.skill-downloads/security-audit-triage-mryiqgxf/SKILL.md.part' && mv '.skill-downloads/security-audit-triage-mryiqgxf/SKILL.md.part' '.skill-downloads/security-audit-triage-mryiqgxf/SKILL.md'

2. Vérifier les prérequis

Lisez SKILL.md avant de l’utiliser. Si le fichier cite des scripts ou services externes, examinez-les et préparez les accès nécessaires dans votre environnement de test.

Aucune section de prérequis reconnue dans ce fichier. Cela ne signifie pas qu’il est autonome : les bibliothèques, outils et accès peuvent être cités ailleurs dans le contenu ou dans le dépôt source.

Les plateformes de la fiche sont des indications du catalogue. Les chemins ci-dessous suivent la documentation des outils ; ils ne prouvent pas que cette skill y a été exécutée. Aucune version minimale de ces outils n’est attestée pour cette fiche.

3. Charger la skill

Après vérification, copiez le dossier complet dans le projet avec l’une des commandes ci-dessous, puis ouvrez une nouvelle session de l’outil. La commande s’arrête si un dossier du même nom existe déjà : comparez les fichiers avant de le remplacer.

Claude Code
test -f '.skill-downloads/security-audit-triage-mryiqgxf/SKILL.md' && test -s '.skill-downloads/security-audit-triage-mryiqgxf/SKILL.md' && mkdir -p '.claude/skills' && test ! -e '.claude/skills/security-audit-triage' && cp -R '.skill-downloads/security-audit-triage-mryiqgxf' '.claude/skills/security-audit-triage'

OpenSkills

OpenSkills doit déjà être installé. La procédure locale install/read est contrôlée avec OpenSkills 1.5.0, qui exige Node.js ≥ 20.6.0. Aucun slug du catalogue n’est résolu automatiquement.

Installation officielle d’OpenSkills
openskills install './.skill-downloads/security-audit-triage-mryiqgxf'

openskills read 'security-audit-triage-mryiqgxf'

La lecture doit afficher le contenu du fichier installé et son dossier de base. Elle ne lance ni la skill ni ses dépendances.

Pour un agent qui lit AGENTS.md, synchronisez ensuite l’index. Cette commande modifie AGENTS.md : relisez le diff avant de l’utiliser.

openskills sync

Mode manuel ou autre outil : joignez SKILL.md à une conversation, ou ouvrez-le dans un agent capable de lire les fichiers. Ajoutez les ressources annexes nécessaires. Il n’existe pas de dossier universel reconnu par tous les outils.

4. Faire un premier essai

Utilisez une entrée courte et fictive : un endpoint d’API, un petit document ou un brief d’interface. Dans une nouvelle conversation, joignez le fichier ou donnez son chemin à l’agent, puis adaptez cette demande :

Lis .skill-downloads/security-audit-triage-mryiqgxf/SKILL.md et applique ses instructions à cet exemple : [décrire une entrée de test]. Indique les fichiers, dépendances ou accès qui manquent. Produis le résultat demandé par la skill sans inventer de données ni exécuter de script non examiné.

Résultat attendu : une sortie correspondant aux instructions de la skill, ou une liste précise des prérequis manquants. Une simple confirmation de lecture ne valide pas le premier usage. Si une ressource externe est indisponible, ce parcours reste à tester.

Skills similaires

Sécurité AMM DeFi

Securite

Checklist de sécurité pour les contrats Solidity AMM, pools de liquidité et flux de swap. Couvre réentrance, attaques par donation, manipulation d'oracles, etc.

Claude CodeCursorCodexadvancedSûr 243,989
Skills Guide Bot

Créateur de règles Semgrep

Securite

Crée des règles Semgrep personnalisées pour détecter des vulnérabilités de sécurité, des motifs de bugs et des motifs de code. Inclut une méthodologie de test en premier, le support du mode taint et des étapes de validation. Utile pour construire des détections d'analyse statique ciblées.

Claude CodeintermediateSûr 21,468
Skills Guide Bot

Revue barre d'outils développement

Securite

Règles de sécurité pour la barre d'outils de développement, le client PostHog et les feature flags. À utiliser lors de la revue de modifications des composants dev-tools et connexes.

Claude CodeCursorCodexintermediateSûr 108,624
Skills Guide Bot