AC security-audit
Комплексное сканирование безопасности и обнаружение уязвимостей. Включает проверку ввода, предотвращение обхода путей, обнаружение CVE и применение безопасных шаблонов кодирования. Используйте, когда: реализация аутентификации, логика авторизации, обработка платежей, обработка пользовательских данных, создание конечных точек API, обработка загрузки файлов, запросы к базе данных, интеграция с внешними API. Пропускайте, когда: операции только для чтения с общедоступными данными, внутренние инструменты разработки, статическая документация, изменения стилей.
машинный переводПоказать оригиналСкрыть оригинал«Comprehensive security scanning and vulnerability detection. Includes…»
Comprehensive security scanning and vulnerability detection. Includes input validation, path traversal prevention, CVE detection, and secure coding pattern enforcement. Use when: authentication implementation, authorization logic, payment processing, user data handling, API endpoint creation, file upload handling, database queries, external API integration. Skip when: read-only operations on public data, internal development tooling, static documentation, styling changes.
Скилл обещает комплексный аудит безопасности: проверку валидации, защиту от path traversal, поиск CVE и контроль паттернов кода. На бумаге — всё нужное для аутентификации, работы с платежами и обработки файлов.
В файлах три скрипта и набор правил. Safety score 100, quality 87, но процесс отстаёт на 61 проценте. Главное: оба скрипта в песочнице упали с кодом 133 — это сигнал о проблеме при выполнении, не о корректности логики. Критических и высоких уязвимостей не найдено, линтер молчит. Для Claude, Cursor и остального зоопарка ИИ-помощников совместим.
Поставить можно, если вы готовы разбираться с exit code 133 в скриптах или использовать скилл только как набор правил без запуска. Для production-аудитов предварительно проверьте, почему скрипты падают.
Комплексное сканирование безопасности и обнаружение уязвимостей.
Как процесс C 61/100 · Есть пробелы — слабые места: результат и критерий готовности, когда включается, ошибки и развилки
Такой же скилл встречается ещё в 1 месте: RA-Skills
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 0
✓ Критических и высоких находок нет
Просканировано файлов: 3. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
✓ По спецификации Agent Skills замечаний нет
Процессный рейтинг: все десять параметров 61/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 16
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 691 токенов
- 100Повторный запуск. Изменяющих операций нет
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Формат ответа не описан: модель каждый раз решает сама
- +1Лицензия не указана
- +2Инструкции на одном языке
- +3Длина description 476 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 17 заголовков
- +3Пошаговые инструкции: 16 пунктов
- +4Есть примеры (13 блоков кода)
- +3Все 2 скриптов описаны в инструкциях
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 87.
В песочнице Скрипты вели себя тихо
Скрипты скилла запущены в одноразовой машине: без сети, с подложными ключами в домашнем каталоге, под наблюдением. Мы записали, что они делали. Попытка выйти в сеть или прочитать чужие секреты ограничивает техническую оценку буквой C; тихий запуск баллов не добавляет.
Запущено 2 скрипта; каждому дали двадцать секунд, поддельный домашний каталог с ключами и сеть, в которой ничего нет.
scripts/cve-remediate.sh | завершился с кодом 133 |
scripts/security-scan.sh | завершился с кодом 133 |
4 окт. 2026 г.