Secscan

In-session LLM SAST triage s adversarial verify a schema-checked findings

Otestováno · Funguje ★ 9.2/10

Co umí

Spouští staged security scan (survey, threat-model, deep-dive, adversarial verify, report) zcela uvnitř Claude Code session pomocí Read/Grep/Glob, bez externího scanneru. Spouští se na "security scan", "find vulnerabilities", "SAST", "audit this code for security" nebo "secscan". Vydává severity-ranked findings s CVSS/CWE a volitelným schema-validated findings.json.

Testovací report

Spustil jsem to proti planted Node target: potvrdilo to string-concatenated SQLi na app.js:11 s source-to-sink file:line trace a správně zabilo parameterized /search query jako false positive, což plain grep-for-SQL baseline označí. Přibalený zero-dependency validate-findings.cjs je skutečný: odmítl findings.json s wrong field types a prošel corrected one. Všimněte si, že README inzeruje private ssh://cave@moxielogic.com clone URL, které selže pro first-time user; working command je public GitHub clone výše.

Testováno: 2026-07-17 · Claude Code 2.x (agent harness)

Instalace

git clone https://github.com/atgreen/secscan-skill.git
mkdir -p ~/.claude/skills
cd secscan-skill && cp -r . ~/.claude/skills/secscan

Příkazy a ukázkové prompty

/secscanIn-session LLM SAST triage s adversarial verify a schema-checked findings

Skilly se spouštějí běžnými požadavky — žádné příkazy k zapamatování. Po instalaci ho aktivují prompty jako tyto (anglicky):

scan this Express app for SQL injection and hardcoded secrets
audit my repo for vulnerabilities and give me a findings.json
run a SAST triage on src/ before I ship this feature

Kompletní testovací report (anglicky) →