Compétences Security Researcher

📦

Security Researcher

Name: Security Researcher
Author: ClementWalter

Révision du contenu r2 Risque faible 📁 Accès au système de fichiers⚡ Contient des scripts

Auditer les risques de sécurité avec des checklists structurées

Les revues de sécurité peuvent manquer des contrôles importants lorsque les équipes s'appuient sur des questions ad hoc. Cette compétence guide Claude, Codex et Claude Code dans des audits structurés couvrant les domaines des applications, de l'infrastructure, de la chaîne d'approvisionnement, de la cryptographie, des smart contracts et de la ZK.

Prend en charge: Claude Codex Code(CC)

📊 70 Adéquat

Maintain this Skill? Claim it 📊 70 Adéquat

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "Security Researcher" from https://skillstore.io/skills/clementwalter-security-audit.md and its manifest at https://skillstore.io/api/skills/clementwalter-security-audit/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/clementwalter-security-audit.md manifest signé GET /api/skills/clementwalter-security-audit/manifest lockfile signé GET /api/skills/clementwalter-security-audit/lockfile

Tester

Utilisation de « Security Researcher ». Revoir une pull request qui modifie la gestion des sessions et ajoute un nouvel endpoint admin.

Résultat attendu:

Constat de sévérité élevée pour une autorisation manquante au niveau des ressources sur l'endpoint admin.
Constat de sévérité moyenne pour des sessions qui ne sont pas renouvelées après des changements de privilèges.
Recommandations pour des vérifications d'autorisation côté serveur, la régénération de session et la journalisation d'audit.

Utilisation de « Security Researcher ». Modéliser les menaces d'un service d'upload de fichiers avant le lancement.

Résultat attendu:

Actifs et frontières de confiance pour les fichiers utilisateur, le stockage, le scan et les chemins de livraison.
Cas d'abus couvrant l'upload de malware, le contournement du content-type, le path traversal et le XSS stocké.
Contrôles pour la validation des magic bytes, les limites de taille, le stockage non exécutable, les noms aléatoires et la surveillance.

Utilisation de « Security Researcher ». Évaluer la préparation d'un dépôt à la sécurité de la chaîne d'approvisionnement.

Résultat attendu:

Résultats de checklist pour le verrouillage des dépendances, le scan des vulnérabilités, la protection des branches, les releases signées et la provenance.
Lacunes prioritaires avec propriétaires suggérés et ordre de remédiation.
Étapes de vérification de suivi pour les permissions CI et l'intégrité des artefacts de release.

Audit de sécurité

Risque faible

v11 • 18/07/2026 Ouvrir le rapport versionné

Manual review found a documentation-only security-review skill with no executable code, network actions, filesystem actions, or prompt-injection content. All 14 static detections are false positives caused by defensive checklist language or the missing frontmatter scan limitation. The skill provides security guidance only and should be applied to authorized systems.

Fichiers analysés

557

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (1)

Faible

SKILL.md:1

Unscanned file (invalid_frontmatter) — manual review required

[unscanned: invalid_frontmatter]

Force-confirmed metadata/low static finding; AI false-positive verdict rejected.

Facteurs de risque

📁 Accès au système de fichiers (2)

references/crypto-checklist.md:16 references/supply-chain-checklist.md:18

⚡ Contient des scripts (1)

references/webapp-checklist.md:32

Audité par: claude Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/clementwalter-security-audit/audits/11?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/clementwalter-security-audit/security.svg)](https://skillstore.io/skills/clementwalter-security-audit?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/clementwalter-security-audit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/clementwalter-security-audit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/clementwalter-security-audit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

ClementWalter. (2026). Security Researcher security audit report (audit version 11) [Author version unspecified]. Skillstore. https://skillstore.io/skills/clementwalter-security-audit/audits/11

Citation BibTeX

@techreport{clementwalter-clementwalter-security-audit-2026,
  author = {ClementWalter},
  title = {Security Researcher security audit report (audit version 11)},
  institution = {Skillstore},
  year = {2026},
  number = {11},
  url = {https://skillstore.io/skills/clementwalter-security-audit/audits/11},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "Security Researcher security audit report (audit version 11)"
version: "unspecified"
type: report
authors:
  - name: "ClementWalter"
date-released: "2026-07-18"
url: "https://skillstore.io/skills/clementwalter-security-audit/audits/11"
identifiers:
  - type: other
    value: "skillstore:clementwalter-security-audit:audit:11"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Revoir une pull request pour son impact sur la sécurité

Évaluer l'authentification, l'autorisation, le traitement des entrées, les secrets, la journalisation et les changements de dépendances avant la fusion.

Préparer un modèle de menaces produit

Identifier les actifs, les frontières de confiance, les cas d'abus et les contrôles manquants avant un lancement ou une revue d'architecture.

Vérifier des composants cryptographiques ou blockchain spécialisés

Utiliser des checklists ciblées pour la cryptographie, les smart contracts, l'intégrité de la chaîne d'approvisionnement et la solidité des circuits ZK.

Essayez ces prompts

Revue de sécurité de base

Utilise la compétence security-audit pour examiner ce changement en recherchant les risques liés à l'authentification, à l'autorisation, à la validation des entrées, aux secrets et à la journalisation. Retourne des constats priorisés avec des correctifs clairs.

Modéliser les menaces d'une fonctionnalité

Utilise la compétence security-audit pour modéliser les menaces de cette fonctionnalité. Identifie les actifs, les frontières de confiance, les risques STRIDE, les cas d'abus, les contrôles requis et les étapes de vérification.

Évaluation de la chaîne d'approvisionnement

Utilise la compétence security-audit pour évaluer notre posture de chaîne d'approvisionnement. Concentre-toi sur le verrouillage des dépendances, les permissions CI/CD, la provenance, la signature des releases, la réponse aux vulnérabilités et l'isolation des runners.

Audit avancé par domaine

Utilise la compétence security-audit pour un audit approfondi de ce composant à haut risque. Applique la checklist de domaine pertinente, énonce les hypothèses, identifie les modes de défaillance exploitables et propose des remédiations concrètes.

Bonnes pratiques

Fournissez des diagrammes d'architecture, les fichiers modifiés, les hypothèses de menace et le contexte de déploiement avant de demander une revue.
Demandez la sévérité, le scénario d'exploitation, l'impact et la remédiation pour chaque constat.
Utilisez la checklist spécifique au domaine qui correspond au système examiné, puis vérifiez les correctifs séparément.

Éviter

Ne considérez pas la sortie comme un test d'intrusion complet sans validation manuelle.
Ne demandez pas d'instructions d'exploitation contre des systèmes que vous ne possédez pas ou que vous n'avez pas l'autorisation de tester.
Ne fusionnez pas de changements à haut risque uniquement sur la base de l'achèvement d'une checklist sans tester les contrôles.

Foire aux questions

Qu'est-ce que cette compétence aide à examiner ?

Elle aide à examiner le code, l'architecture, l'infrastructure, le CI/CD, les dépendances, la cryptographie, les smart contracts et les circuits ZK pour détecter les risques de sécurité.

Exécute-t-elle des scanners automatisés ?

Non. Elle fournit des orientations structurées et des critères de revue. Vous pouvez demander séparément à Claude Code d'exécuter les outils disponibles du projet.

Quels frameworks référence-t-elle ?

Elle référence NIST CSF, CIS Controls, NIST SSDF, OWASP ASVS, OWASP Top 10, MITRE ATT&CK, SLSA et OpenSSF Scorecard.

Peut-elle examiner des systèmes blockchain ?

Oui. Elle inclut des orientations pour les smart contracts, les risques de protocole, les hypothèses d'oracle et de bridge, la garde des clés et les vérifications de circuits ZK.

Convient-elle aux environnements réglementés ?

Elle peut soutenir les revues internes, mais les travaux formels de conformité ou d'assurance nécessitent toujours une revue humaine qualifiée et une collecte de preuves.

Comment dois-je utiliser les constats ?

Traitez-les comme une sortie de revue priorisée. Validez chaque constat, implémentez la remédiation et retestez le contrôle affecté.