netresearch/security-audit-skill

Это переносимый пакет процедурных знаний для AI-агентов, который превращает их в аудитора безопасности PHP- и TYPO3-проектов. Нужен разработчикам и командам, которым требуется автоматический поиск уязвимостей и оценка рисков без ручного прохода по чек-листам.

Ключевые возможности

• Обнаружение уязвимостей: XXE, SQLi, XSS, CSRF, SSRF, path traversal, небезопасная десериализация, JWT-флаги
• Оценка рисков по CVSS v3.1 и v4.0 с матрицей приоритизации
• 80+ автоматических контрольных точек для PHP 8.x и фреймворков TYPO3, Symfony, Laravel
• 41 справочный гид по безопасному кодированию и управлению сессиями
• Соответствие OWASP Top 10, CWE Top 25 2025, OWASP ASVS v4.0
• Предупреждения PreToolUse в Claude Code при опасных действиях

Для каких задач подходит

• Автоматический аудит legacy PHP-кода перед релизом или миграцией
• Проверка TYPO3-расширений на типовые уязвимости фреймворка
• Встраивание проверок безопасности в CI/CD-пайплайн через SAST
• Оценка и приоритизация найденных уязвимостей по CVSS для отчёта руководству
• Обучение команды безопасному кодированию на реальных примерах из проекта

Подробнее

Навык оформлен как Agent Skill по открытому стандарту agentskills.io, который изначально разработала Anthropic. Это набор инструкций и справочников, который агент подгружает в контекст, когда сталкивается с задачей аудита безопасности. Установка сводится к клонированию репозитория в директорию навыков или подключению через маркетплейс Netresearch; после этого Claude Code, Cursor или GitHub Copilot начинают применять описанные паттерны при анализе кода.

Внутри — не только статический чек-лист, но и методология оценки: CVSS v3.1 и v4.0, матрица рисков, анализ вероятности и влияния. Отдельный блок посвящён PHP/TYPO3: 80+ контрольных точек учитывают особенности PHP 8.x и типовые паттерны TYPO3, Symfony и Laravel. Справочные гиды покрывают безопасное кодирование, криптографию на sodium, управление сессиями и заголовки безопасности.

Важно понимать ограничения: это не самостоятельный сканер, а знания для агента. Глубокое сканирование выполняется агентом, а не встроенным движком, поэтому качество результата зависит от модели и контекста. Хуки PreToolUse работают только при установке через маркетплейс или директорию навыков — установка через npx skills их не подхватывает. Лицензия в репозитории указана как NOASSERTION, поэтому перед коммерческим использованием стоит уточнить условия у авторов.