Fähigkeiten Security Researcher

📦

Security Researcher

Name: Security Researcher
Author: ClementWalter

Inhaltsrevision r2 Niedriges Risiko 📁 Dateisystemzugriff⚡ Enthält Skripte

Sicherheitsrisiken mit strukturierten Checklisten auditieren

Sicherheitsreviews können wichtige Kontrollen übersehen, wenn Teams sich auf Ad-hoc-Fragen verlassen. Diese Skill führt Claude, Codex und Claude Code durch strukturierte Audits in den Bereichen Anwendung, Infrastruktur, Supply Chain, Kryptographie, Smart Contracts und ZK.

Unterstützt: Claude Codex Code(CC)

📊 70 Angemessen

Maintain this Skill? Claim it 📊 70 Angemessen

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "Security Researcher" from https://skillstore.io/skills/clementwalter-security-audit.md and its manifest at https://skillstore.io/api/skills/clementwalter-security-audit/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/clementwalter-security-audit.md Signiertes manifest GET /api/skills/clementwalter-security-audit/manifest Signiertes lockfile GET /api/skills/clementwalter-security-audit/lockfile

Testen

„Security Researcher“ wird verwendet. Prüfe einen Pull Request, der das Session-Handling ändert und einen neuen Admin-Endpunkt hinzufügt.

Erwartetes Ergebnis:

Befund mit hohem Schweregrad wegen fehlender Autorisierung auf Ressourcenebene am Admin-Endpunkt.
Befund mit mittlerem Schweregrad, weil Sessions nach Berechtigungsänderungen nicht rotiert werden.
Empfehlungen für serverseitige Autorisierungsprüfungen, Session-Regeneration und Audit-Logging.

„Security Researcher“ wird verwendet. Erstelle vor dem Launch ein Threat Model für einen Datei-Upload-Dienst.

Erwartetes Ergebnis:

Assets und Vertrauensgrenzen für Benutzerdateien, Speicher, Scanning und Auslieferungspfade.
Missbrauchsfälle zu Malware-Upload, Umgehung des Content-Type, Path Traversal und Stored XSS.
Kontrollen für Magic-Byte-Validierung, Größenlimits, nicht ausführbaren Speicher, randomisierte Namen und Monitoring.

„Security Researcher“ wird verwendet. Bewerte ein Repository auf Bereitschaft für Supply-Chain-Sicherheit.

Erwartetes Ergebnis:

Checklistenergebnisse für Dependency-Pinning, Vulnerability Scanning, Branch Protection, signierte Releases und Provenance.
Priorisierte Lücken mit vorgeschlagenen Verantwortlichen und Reihenfolge der Behebung.
Follow-up-Verifizierungsschritte für CI-Berechtigungen und Integrität von Release-Artefakten.

Sicherheitsaudit

Niedriges Risiko

v11 • 18.7.2026 Versionsbericht öffnen

Manual review found a documentation-only security-review skill with no executable code, network actions, filesystem actions, or prompt-injection content. All 14 static detections are false positives caused by defensive checklist language or the missing frontmatter scan limitation. The skill provides security guidance only and should be applied to authorized systems.

Gescannte Dateien

557

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (1)

Niedrig

SKILL.md:1

Unscanned file (invalid_frontmatter) — manual review required

[unscanned: invalid_frontmatter]

Force-confirmed metadata/low static finding; AI false-positive verdict rejected.

Risikofaktoren

📁 Dateisystemzugriff (2)

references/crypto-checklist.md:16 references/supply-chain-checklist.md:18

⚡ Enthält Skripte (1)

references/webapp-checklist.md:32

Geprüft von: claude Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/clementwalter-security-audit/audits/11?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/clementwalter-security-audit/security.svg)](https://skillstore.io/skills/clementwalter-security-audit?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/clementwalter-security-audit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/clementwalter-security-audit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/clementwalter-security-audit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

ClementWalter. (2026). Security Researcher security audit report (audit version 11) [Author version unspecified]. Skillstore. https://skillstore.io/skills/clementwalter-security-audit/audits/11

BibTeX-Zitat

@techreport{clementwalter-clementwalter-security-audit-2026,
  author = {ClementWalter},
  title = {Security Researcher security audit report (audit version 11)},
  institution = {Skillstore},
  year = {2026},
  number = {11},
  url = {https://skillstore.io/skills/clementwalter-security-audit/audits/11},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "Security Researcher security audit report (audit version 11)"
version: "unspecified"
type: report
authors:
  - name: "ClementWalter"
date-released: "2026-07-18"
url: "https://skillstore.io/skills/clementwalter-security-audit/audits/11"
identifiers:
  - type: other
    value: "skillstore:clementwalter-security-audit:audit:11"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Einen Pull Request auf Sicherheitsauswirkungen prüfen

Authentifizierung, Autorisierung, Eingabeverarbeitung, Secrets, Logging und Dependency-Änderungen vor dem Merge bewerten.

Ein Produkt-Threat-Model vorbereiten

Assets, Vertrauensgrenzen, Missbrauchsfälle und fehlende Kontrollen vor einem Launch oder Architekturreview identifizieren.

Spezialisierte kryptographische oder Blockchain-Komponenten prüfen

Fokussierte Checklisten für Kryptographie, Smart Contracts, Supply-Chain-Integrität und ZK-Circuit-Soundness verwenden.

Diese Prompts ausprobieren

Grundlegendes Sicherheitsreview

Verwende den security-audit skill, um diese Änderung auf Risiken bei Authentifizierung, Autorisierung, Eingabevalidierung, Secrets und Logging zu prüfen. Gib priorisierte Befunde mit klaren Korrekturen zurück.

Threat Model für ein Feature erstellen

Verwende den security-audit skill, um für dieses Feature ein Threat Model zu erstellen. Identifiziere Assets, Vertrauensgrenzen, STRIDE-Risiken, Missbrauchsfälle, erforderliche Kontrollen und Verifizierungsschritte.

Supply-Chain-Bewertung

Verwende den security-audit skill, um unsere Supply-Chain-Haltung zu bewerten. Konzentriere dich auf Dependency-Pinning, CI/CD-Berechtigungen, Provenance, Release-Signierung, Vulnerability Response und Runner-Isolation.

Fortgeschrittenes Domänenaudit

Verwende den security-audit skill für ein tiefgehendes Audit dieser Hochrisikokomponente. Wende die relevante Domänencheckliste an, benenne Annahmen, identifiziere ausnutzbare Fehlermodi und schlage konkrete Gegenmaßnahmen vor.

Bewährte Praktiken

Stelle Architekturdiagramme, geänderte Dateien, Threat-Annahmen und Deployment-Kontext bereit, bevor du um ein Review bittest.
Fordere für jeden Befund Schweregrad, Exploit-Szenario, Auswirkung und Gegenmaßnahme an.
Verwende die domänenspezifische Checkliste, die zum geprüften System passt, und verifiziere Korrekturen anschließend separat.

Vermeiden

Behandle die Ausgabe nicht als vollständigen Penetrationstest ohne manuelle Validierung.
Bitte nicht um Exploit-Anleitungen gegen Systeme, die dir nicht gehören oder für deren Test du keine Genehmigung hast.
Merge keine Hochrisikoänderungen allein aufgrund einer abgeschlossenen Checkliste, ohne die Kontrollen zu testen.

Häufig gestellte Fragen

Was hilft diese Skill zu prüfen?

Es hilft dabei, Code, Architektur, Infrastruktur, CI/CD, Dependencies, Kryptographie, Smart Contracts und ZK-Circuits auf Sicherheitsrisiken zu prüfen.

Führt es automatisierte Scanner aus?

Nein. Es bietet strukturierte Anleitung und Review-Kriterien. Du kannst Claude Code separat bitten, verfügbare Projekttools auszuführen.

Welche Frameworks referenziert es?

Es referenziert NIST CSF, CIS Controls, NIST SSDF, OWASP ASVS, OWASP Top 10, MITRE ATT&CK, SLSA und OpenSSF Scorecard.

Kann es Blockchain-Systeme prüfen?

Ja. Es enthält Anleitung für Smart Contracts, Protokollrisiken, Oracle- und Bridge-Annahmen, Key Custody und ZK-Circuit-Prüfungen.

Ist es für regulierte Umgebungen geeignet?

Es kann interne Reviews unterstützen, aber formale Compliance- oder Assurance-Arbeiten benötigen weiterhin qualifizierte menschliche Prüfung und Beweissammlung.

Wie sollte ich die Befunde verwenden?

Behandle sie als priorisierte Review-Ausgabe. Validiere jeden Befund, implementiere die Gegenmaßnahme und teste die betroffene Kontrolle erneut.