Repo Forensics

Offline bezpečnostní skener pro repozitáře, AI dovednosti, pluginy a MCP servery

od alexgreensh · alexgreensh/repo-forensics

Otestováno · Funguje ★ 9.6/10

Repo Forensics — Offline bezpečnostní skener pro repozitáře, AI dovednosti, pluginy a MCP servery

Co umí

Deep, offline-first security audit pro git repos, AI-agent skills a MCP servers. Detects prompt injection, credential exfiltration, obfuscated code, runtime dynamism, manifest drift a known CVEs/CISA-KEV vulns. Spouští se, když uživatel chce vet code nebo skill before installing it, nebo asks 'is this repo safe?' Not for fixing vulns nebo pentesting.

Testovací report

Spustil jsem bundled scanner živě proti repo s planted curl-pipe-to-shell exfil, base64 exec payload, prompt-injection SKILL.md a committed .env: vrátil 17 findings across 27 scanners, 9 CRITICAL, deterministic BLOCK verdict a exit code 2, correctly correlating the credential-theft a exfiltration chains. Same scanner vrátil zero findings na clean directory, takže it earns its verdict spíše než crying wolf, a works fully offline s hardened HTTPS-only threat-intel fetch.

Testováno: 2026-07-17 · Claude Code 2.x (agent harness)

Instalace

git clone https://github.com/alexgreensh/repo-forensics
mkdir -p ~/.claude/skills
cd repo-forensics && cp -r skills/repo-forensics ~/.claude/skills/repo-forensics

Příkazy a ukázkové prompty

/repo-forensicsOffline bezpečnostní skener pro repozitáře, AI dovednosti, pluginy a MCP servery

Skilly se spouštějí běžnými požadavky — žádné příkazy k zapamatování. Po instalaci ho aktivují prompty jako tyto (anglicky):

Scan this repo for prompt injection before I install it as a skill
Check whether this MCP server has any credential exfiltration code
Audit this plugin for supply-chain risks before we deploy it anywhere

Kompletní testovací report (anglicky) →