Fähigkeiten when-auditing-security-use-security-analyzer

📦

when-auditing-security-use-security-analyzer

Name: when-auditing-security-use-security-analyzer
Author: DNYoussef

v1.0.0 Inhaltsrevision r1 Mittleres Risiko 🌐 Netzwerkzugriff⚡ Enthält Skripte⚙️ Externe Befehle📁 Dateisystemzugriff🔑 Umgebungsvariablen

Sicherheitsaudits mit KI-Agenten durchführen

Sicherheitsprüfungen übersehen häufig Probleme, die über Code, Abhängigkeiten, Laufzeitverhalten und Secrets verteilt sind. Diese Skill führt Claude, Codex und Claude Code durch einen strukturierten Audit-Workflow mit Berichtspunkten.

Unterstützt: Claude Codex Code(CC)

📊 70 Angemessen

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "when-auditing-security-use-security-analyzer" from https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer.md and its manifest at https://skillstore.io/api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/dnyoussef-when-auditing-security-use-security-analyzer.md Signiertes manifest GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest Signiertes lockfile GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/lockfile

Testen

„when-auditing-security-use-security-analyzer“ wird verwendet. Führe vor meinem Pull Request einen statischen Sicherheitsscan aus.

Erwartetes Ergebnis:

Zusammenfassung der Problemzahlen nach Schweregrad.
Liste wahrscheinlicher SQL-Injection-, XSS-, Path-Traversal- und Krypto-Befunde.
Empfohlene Korrekturen nach Auswirkung geordnet.

„when-auditing-security-use-security-analyzer“ wird verwendet. Prüfe, ob dieses Release neue Sicherheitsregressionen enthält.

Erwartetes Ergebnis:

Baseline-Vergleich, der zeigt, ob die Problemzahlen gestiegen oder gesunken sind.
Zusammenfassung des Release-Risikos.
Erforderliche Maßnahmen vor der Freigabe.

„when-auditing-security-use-security-analyzer“ wird verwendet. Prüfe Abhängigkeiten und offengelegte Secrets.

Erwartetes Ergebnis:

Zusammenfassung von Abhängigkeitsschwachstellen aus npm audit.
Potenzielle Zugangsdaten-Treffer in lokalen Dateien.
Hinweise zum Rotieren von Secrets und Aktualisieren von Paketen, wenn nötig.

Sicherheitsaudit

Mittleres Risiko

v10 • 9.7.2026 Versionsbericht öffnen

The static matches are overwhelmingly scanner signatures, documentation examples, local temporary-file usage, or local audit commands rather than malicious behavior. I did not find evidence of credential exfiltration, destructive actions, prompt injection, or unauthorized remote targeting, but the skill does execute external tooling and can generate sensitive local reports. Static review was capped at 400/481 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Gescannte Dateien

3,524

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (2)

Mittel

SKILL.md:52-65 slash-command-security-analyzer.sh:220-225

Unpinned External Package Execution

The workflow repeatedly invokes npx claude-flow@alpha. Running an alpha package through npx can execute code fetched from the package registry unless the user has pinned, audited, and approved that dependency.

The cited lines show direct npx execution of claude-flow@alpha in both documentation and the command script. This is a supply-chain and execution-safety concern, but it is transparent and related to the skill workflow rather than hidden malware.

Niedrig

slash-command-security-analyzer.sh:379-403 slash-command-security-analyzer.sh:479-506

Security Reports May Contain Sensitive Findings

The analyzer writes matched secrets, dependency data, and source snippets into local temporary files and the output report. This is expected for a scanner, but reports must be treated as sensitive artifacts.

The script explicitly scans for credentials and includes findings in the generated report. There is no external upload shown, so the issue is local handling and disclosure risk.

Risikofaktoren

🌐 Netzwerkzugriff (32)

⚡ Enthält Skripte (9)

PROCESS.md:141 PROCESS.md:138 PROCESS.md:150 SKILL.md:91 SKILL.md:441 SKILL.md:92 SKILL.md:92 SKILL.md:103 SKILL.md:90

⚙️ Externe Befehle (50)

PROCESS.md:94-103 PROCESS.md:359-385 PROCESS.md:385-410 PROCESS.md:410-411 PROCESS.md:411-432 PROCESS.md:432-436 PROCESS.md:436-458 PROCESS.md:458-460 PROCESS.md:460-488 PROCESS.md:507-521 PROCESS.md:521-532 PROCESS.md:50 PROCESS.md:259 PROCESS.md:260 PROCESS.md:262 PROCESS.md:263 PROCESS.md:264 PROCESS.md:265 PROCESS.md:267 PROCESS.md:274 PROCESS.md:286 PROCESS.md:546 PROCESS.md:560 README.md:284 README.md:288 README.md:104 README.md:283 SKILL.md:37-44 SKILL.md:44-52 SKILL.md:52-66 SKILL.md:66-69 SKILL.md:69-128 SKILL.md:128-131 SKILL.md:131-140 SKILL.md:140-148 SKILL.md:148-235 SKILL.md:235-251 SKILL.md:251-254 SKILL.md:254-261 SKILL.md:261-269 SKILL.md:269-306 SKILL.md:306-309 SKILL.md:309-322 SKILL.md:322-330 SKILL.md:330-394 SKILL.md:394-397 SKILL.md:397-405 SKILL.md:405-413 SKILL.md:413-570 SKILL.md:570-573

📁 Dateisystemzugriff (50)

🔑 Umgebungsvariablen (8)

PROCESS.md:243 PROCESS.md:243 SKILL.md:745 SKILL.md:745 SKILL.md:343 SKILL.md:745 SKILL.md:746 slash-command-security-analyzer.sh:389

Geprüft von: claude Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg)](https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/dnyoussef-when-auditing-security-use-security-analyzer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

DNYoussef. (2026). when-auditing-security-use-security-analyzer security audit report (audit version 10) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10

BibTeX-Zitat

@techreport{dnyoussef-dnyoussef-when-auditing-security-use-security-analyzer-2026,
  author = {DNYoussef},
  title = {when-auditing-security-use-security-analyzer security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "when-auditing-security-use-security-analyzer security audit report (audit version 10)"
version: "1.0.0"
type: report
authors:
  - name: "DNYoussef"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10"
identifiers:
  - type: other
    value: "skillstore:dnyoussef-when-auditing-security-use-security-analyzer:audit:10"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Hoch

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Sicherheitsprüfung vor dem Merge

Führe vor dem Öffnen eines Pull Requests einen lokalen Scan aus, um häufige Injection-, Secrets- und Abhängigkeitsprobleme zu erkennen.

Audit zur Release-Bereitschaft

Kombiniere statische Prüfungen, npm audit-Ergebnisse und OWASP-Bewertung vor einem Release in einem Bericht.

Workflow zum Lernen von Sicherheit

Nutze dokumentierte anfällige und sichere Beispiele, um Teams zu zeigen, wie häufige Web-Sicherheitsprobleme im Code auftreten.

Diese Prompts ausprobieren

Einen einfachen statischen Scan ausführen

Verwende den security analyzer, um einen statischen Scan dieses Projekts auszuführen, und fasse die wichtigsten Ergebnisse zusammen.

Secrets und Abhängigkeiten prüfen

Führe Secrets-Erkennung und Abhängigkeitsprüfung aus und sage mir anschließend, welche Ergebnisse sofortiges Handeln erfordern.

Mit einer Baseline vergleichen

Führe den security analyzer für diese Codebasis aus und vergleiche die Ergebnisse mit meinem bestehenden Baseline-Bericht.

Einen vollständigen Release-Audit durchführen

Führe den vollständigen security analyzer-Workflow im strict mode aus, beziehe OWASP-Abdeckung ein und erstelle einen priorisierten Behebungsplan.

Bewährte Praktiken

Führe Scans nur für Repositorys und lokale Dienste aus, zu deren Test du autorisiert bist.
Prüfe jeden Befund manuell, bevor du ihn als bestätigte Schwachstelle behandelst.
Speichere generierte Berichte sicher, da sie sensible Dateipfade oder Codeausschnitte enthalten können.

Vermeiden

Führe keine dynamischen Tests oder Rate-Limit-Tests gegen Systeme Dritter ohne schriftliche Genehmigung aus.
Füge generierte Berichte nicht in öffentliche Tools ein, wenn sie Secrets oder interne Pfade enthalten.
Behandle grep-basierte Ergebnisse nicht als vollständige Abdeckung für komplexe Sicherheitsprobleme.

Häufig gestellte Fragen

Nutzt diese Skill Schwachstellen aus?

Nein. Es ist für autorisierte defensive Prüfungen und lokale Validierung konzipiert, nicht für offensive Ausnutzung.

Kann sie mit Claude Code ausgeführt werden?

Ja. Die Skill deklariert Unterstützung für Claude, Codex und Claude Code.

Scannt sie Abhängigkeiten?

Ja. Sie führt npm audit aus, wenn package.json im ausgewählten Scan-Pfad vorhanden ist.

Kann sie alle Secrets finden?

Nein. Sie prüft gängige Muster und kann ungewöhnliche Formate oder verschlüsselte Zugangsdaten übersehen.

Sendet sie Befunde an externe Dienste?

Das geprüfte Skript schreibt lokale Berichte und ruft optional Claude Flow hooks auf. Benutzer sollten das Verhalten der hooks prüfen, bevor sie es aktivieren.

Ist eine manuelle Prüfung weiterhin erforderlich?

Ja. Der Scanner ist musterbasiert, daher müssen Menschen Schweregrad, Ausnutzbarkeit und Priorität der Behebung bestätigen.