SKILLEMALL.ai
GitHub ↗ EN Войти

BD security-audit-methodology

Планируйте авторизованные проверки безопасности с моделированием угроз, аудитом архитектуры и зависимостей, а также классификацией уязвимостей. Используйте для ограниченной оценки защитной безопасности. Не используйте для наступательных операций, несанкционированного тестирования или реализации средств контроля безопасности.

машинный переводПоказать оригиналСкрыть оригинал«Plan authorized security reviews with threat modeling, architecture an…»

Plan authorized security reviews with threat modeling, architecture and dependency audits, and vulnerability classification. Use for scoped defensive security assessment. Do not use for offensive operations, unauthorized testing, or security control implementation.

magnus919/agent-skills Agent Skills автор: magnus919 MIT 7 файлов тело ≈ 785 токенов Открыть источникgithub.com↗ проанализирован 26 ч назад

Планируйте авторизованные проверки безопасности с моделированием угроз, аудитом архитектуры и зависимостей, а также классификацией уязвимостей.

Как процесс D 42/100 · Процесс не доведён — слабые места: шаги, результат и критерий готовности, входы и предусловия

АнализаторБезопасностьИсследованиятип и темы размечены автоматически по тексту скилла
Запускается в: Claude / Claude Code ChatGPT / Codex Gemini CLI Cursor GitHub Copilot / VS Code Qwen Code Kimi Code CLI Z.ai (GLM) DeepSeek (Deep Code) Mistral Vibe LangChain (deepagents) OpenClaw Goose OpenCode
JSON
Технический рейтинг
B
92/100
безопасность, качество, тесты
Безопасность 60%
96
Качество 40%
86
Прогон на моделях
не было
Процессный рейтинг
D
42/100
Процесс не доведён
Шаги вес 15
0
Результат и критерий готовности вес 14
0
Входы и предусловия вес 11
0
три самых слабых из десяти параметров · все десять

Как улучшить

    Для прогона на моделях — необязательно
    • spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.

    Находки guard · 4

    ✓ Критических и высоких находок нет

    Средние и низкие: 4
    • низкая Рискованное назначение intent-offensive-security references/security-architecture-dependency-audit.md:242
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
      - [ ] No vertical privilege escalation through modified authentication claims.
    • низкая Рискованное назначение intent-offensive-security references/security-architecture-dependency-audit.md:260
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
      - [ ] Session IDs are single-use (reissued on login, privilege escalation).
    • низкая Рискованное назначение intent-offensive-security references/threat-modeling.md:11
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
      | **R**epudiation | Can an actor deny an action they performed? | No audit trail on privilege escalation |
      детектор
    • низкая Рискованное назначение intent-offensive-security references/vulnerability-classification.md:34
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)
      | CWE-863 (Authorization) | Missing access checks, IDOR, privilege escalation |

    Просканировано файлов: 6. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.

    По спецификации Agent Skills

    ✓ По спецификации Agent Skills замечаний нет

    Процессный рейтинг: все десять параметров 42/100

    • 0Шаги. Инструкция сплошным текстом, шаги не выделены
    • 0Результат и критерий готовности. Не сказано, что считать результатом
    • 0Входы и предусловия. Не сказано, что нужно иметь на входе
    • 0Ошибки и развилки. Линейный процесс без обработки сбоев
    • 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
    • 50Когда включается. Не сказано, при каком запросе скилл включается
    • 100Инструменты и файлы. Внешние инструменты не нужны
    • 100Согласованность. Имя и обязательные поля на месте
    • 100Стоимость исполнения. Тело инструкции 785 токенов
    • 100Повторный запуск. Изменяющих операций нет
    • medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
    • medium Тестов 5, и все положительные: нет ни одного случая «должен отказать» или «должен переспросить»

    Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.

    Сигналы качества

    • +5В description нет примеров фраз, по которым скилл должен срабатывать
    • +3Нет пошаговых инструкций или чек-листа
    • +3Формат ответа не описан: модель каждый раз решает сама
    • +4Нет примеров входа/выхода
    • +2Инструкции на одном языке
    • +4Описание говорит, когда скилл НЕ применять
    • +3Длина description 265 символов: достаточно сигнала, не съедает бюджет
    • +4Структура: 6 заголовков
    • +4Справочные файлы упоминаются в инструкциях (3 из 4)
    • +1Лицензия указана

    База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 86.