SkillProof tested Claude skills

Shield Security Orchestrator

Fusiona Semgrep, gitleaks y npm audit en un informe de seguridad puntuado

Por alissonlinneker · alissonlinneker/shield-claude-skill

Probado · Funciona ★ 8.0/10

Shield Security Orchestrator — Fusiona Semgrep, gitleaks y npm audit en un informe de seguridad puntuado

Qué hace

Envuelve Semgrep SAST, gitleaks secret scanning, auditorías de paquetes y verificaciones de frescura de dependencias detrás de un único flujo de trabajo, luego fusiona la salida de cada herramienta en un JSON normalizado, asigna IDs SHIELD-XXX y calcula una puntuación de riesgo de 0-100 con mapeo CWE y OWASP. Se activa cuando un usuario solicita un escaneo de seguridad, una auditoría de vulnerabilidades, una verificación de secretos o una revisión de CVE de dependencias antes del envío. El modo de pentest autónomo completo requiere adicionalmente Docker y un clon local del motor Shannon.

Informe de la prueba

Se ejecutó la full bundled pipeline live against a deliberately vulnerable Express app: npm audit surfaced 9 vulnerable packages including a CRITICAL minimist prototype-pollution, and gitleaks pulled a Slack bot token out of a commit whose file had already been deleted from HEAD, neither of which is reachable by reading the working tree. La Semgrep layer es noisier: su catch-all NoSQL rule flagged app.listen(3000) as a HIGH CWE-943 injection y fired six times on ordinary Express calls, while the dedicated SQL-injection and path-traversal rules missed the real ones because the query was assigned to a variable first. Consolidation and scoring worked end to end (18 findings, 0/100 CRITICAL), although the false positives alone are enough to bottom out the score. El repo's own 61 unit tests all pass. El outdated checker reports every package as 'unknown' versions behind despite the docs promising major/minor/patch counts, and the plugin copy of SKILL.md points at a ${CLAUDE_SKILL_DIR} variable that does not exist in Claude Code.

Probado el: 2026-07-30 · Claude Code 2.x (agent harness)

Instalación

git clone https://github.com/alissonlinneker/shield-claude-skill.git
mkdir -p ~/.claude/skills/shield
cd shield-claude-skill && cp -r SKILL.md scripts templates configs ~/.claude/skills/shield/

Comandos y prompts de ejemplo

  • /shieldFusiona Semgrep, gitleaks y npm audit en un informe de seguridad puntuado

Los skills se activan con peticiones en lenguaje natural, sin comandos que memorizar. Tras instalarlo, prompts como estos lo activan (en inglés):

  • Scan this repo for security vulnerabilities before we deploy to production
  • Check if there are any hardcoded secrets or API keys in this codebase
  • Audit our npm dependencies for known CVEs and give me a risk score

Informe completo →