스킬 sast-semgrep
📦
sast-semgrep
v0.1.0 콘텐츠 리비전 r2 높은 위험 ⚙️ 외부 명령어🌐 네트워크 접근🔑 환경 변수📁 파일 시스템 접근⚡ 스크립트 포함
Semgrep SAST로 코드 스캔
개발 팀은 규칙을 처음부터 만들지 않고도 반복 가능한 정적 보안 검토가 필요합니다. 이 스킬은 Semgrep 스캔, OWASP 및 CWE 매핑, 개선 계획, CI 통합을 안내합니다.
지원: Claude Codex Code(CC)
설치 전에 중지하고 확인을 요청하세요.
계획을 검토하고 파일을 변경하기 전에 사용자의 명시적 동의를 받으세요.
내 에이전트로 설치
이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.
에이전트 요청
Review the Skillstore skill "sast-semgrep" from https://skillstore.io/skills/agentsecops-sast-semgrep.md and its manifest at https://skillstore.io/api/skills/agentsecops-sast-semgrep/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.
에이전트가 읽기 쉬운 리소스
AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.
테스트해 보기
"sast-semgrep" 사용 중입니다. 한 팀이 Python 및 JavaScript 서비스에 처음으로 SAST 적용 범위를 도입하려고 합니다.
예상 결과:
- 언어별 권장 시작 규칙 세트.
- 로컬 및 CI 사용을 위한 스캔 계획.
- 심각한 발견 항목을 위한 분류 체크리스트.
"sast-semgrep" 사용 중입니다. 풀 리퀘스트가 인증 코드에 Semgrep 발견 항목을 도입합니다.
예상 결과:
- 심각도 및 영향을 받는 컴포넌트별로 그룹화된 발견 항목.
- 각 문제에 대한 OWASP 및 CWE 매핑.
- 코드 소유자에게 적합한 개선 단계.
"sast-semgrep" 사용 중입니다. 보안 팀에 안전하지 않은 파일 읽기에 대한 사용자 지정 규칙이 필요합니다.
예상 결과:
- 긍정 및 부정 매치 사례가 포함된 규칙 설계 메모.
- 취약한 샘플과 안전한 샘플에 대한 테스트 지침.
- 불필요한 매치를 줄이기 위한 조언.
보안 감사
높은 위험v10 • 2026. 7. 23. 버전별 보고서 열기
All 109 static findings are false positives from documentation, detection rules, or fixed CI commands; none execute as part of the skill. The audit found flawed SSRF and path-containment guidance, plus unpinned CI dependencies that create supply-chain exposure.
9
스캔된 파일
2,126
분석된 줄 수
0
검토 항목
0
오탐 무시됨
확인된 보안 우려 사항 (3)
높음
SSRF Remediation Fails to Block Private IPs
The safe_fetch example catches and ignores the exception raised for a private IP. It also omits hostname resolution and redirect validation.
The private-address branch raises ValueError inside a try block whose ValueError handler continues execution, so the request still occurs.
높음
Path Remediation Uses an Unsafe Prefix Check
The safe_join example compares resolved paths with string startswith. A sibling directory sharing the base prefix can pass and escape the intended directory.
Resolved path strings are compared lexically instead of checking path ancestry, which permits prefix-confusion bypasses.
중간
assets/ci_config_examples/github-actions.yml:35-39assets/ci_config_examples/github-actions.yml:88-89assets/ci_config_examples/gitlab-ci.yml:9-12
CI Examples Use Mutable Dependencies
CI examples use mutable action tags, latest container tags, and unpinned pip installs. Upstream changes can alter code executed in privileged pipelines.
The examples visibly use action major tags, a latest image tag, and pip installation without an exact version or integrity hash.
위험 요인
⚙️ 외부 명령어 (50)
assets/ci_config_examples/github-actions.yml:133 assets/ci_config_examples/gitlab-ci.yml:40 references/remediation_guide.md:159 references/remediation_guide.md:156 references/remediation_guide.md:160 references/remediation_guide.md:143 references/remediation_guide.md:150 references/remediation_guide.md:136 references/remediation_guide.md:135 references/remediation_guide.md:156-163 references/rule_library.md:223 SKILL.md:38-40 SKILL.md:40-44 SKILL.md:44-46 SKILL.md:46-53 SKILL.md:53-61 SKILL.md:61-63 SKILL.md:63-69 SKILL.md:69-72 SKILL.md:72-76 SKILL.md:76-85 SKILL.md:85-96 SKILL.md:96-97 SKILL.md:97-111 SKILL.md:111-112 SKILL.md:112-113 SKILL.md:113-117 SKILL.md:117-118 SKILL.md:118-119 SKILL.md:119-123 SKILL.md:123-124 SKILL.md:124-125 SKILL.md:125-131 SKILL.md:131-137 SKILL.md:137-141 SKILL.md:141-146 SKILL.md:146-150 SKILL.md:150-154 SKILL.md:154-158 SKILL.md:158-162 SKILL.md:162-168 SKILL.md:168-173 SKILL.md:173-204 SKILL.md:204-213 SKILL.md:213-220 SKILL.md:220-221 SKILL.md:221-222 SKILL.md:222-223 SKILL.md:223-228 SKILL.md:228-229
🌐 네트워크 접근 (16)
assets/rule_template.yaml:35 assets/rule_template.yaml:36 assets/rule_template.yaml:75 references/owasp_cwe_mapping.md:261 references/remediation_guide.md:373 references/remediation_guide.md:404 references/rule_library.md:385 references/rule_library.md:327 SKILL.md:21 SKILL.md:22 SKILL.md:23 SKILL.md:280 SKILL.md:281 SKILL.md:282 SKILL.md:283 SKILL.md:284
🔑 환경 변수 (5)
📁 파일 시스템 접근 (2)
⚡ 스크립트 포함 (9)
references/owasp_cwe_mapping.md:104 references/remediation_guide.md:223 references/remediation_guide.md:224 references/remediation_guide.md:77 references/remediation_guide.md:76 references/remediation_guide.md:86 references/remediation_guide.md:156 references/rule_library.md:222 references/rule_library.md:223
감사자: codex 감사 이력 보기 →
이 보고서 공유 및 인용
버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.
보고서 링크 복사
https://skillstore.io/skills/agentsecops-sast-semgrep/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 배지
[](https://skillstore.io/skills/agentsecops-sast-semgrep?utm_source=security_passport_badge)HTML 배지
<a href="https://skillstore.io/skills/agentsecops-sast-semgrep?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sast-semgrep/security.svg" alt="Skillstore security assessment" loading="lazy"></a>임베드 카드
<iframe src="https://skillstore.io/embed/skills/agentsecops-sast-semgrep.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>학술 인용 (APA · BibTeX · CFF)
APA 인용
AgentSecOps. (2026). sast-semgrep security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sast-semgrep/audits/10BibTeX 인용
@techreport{agentsecops-agentsecops-sast-semgrep-2026,
author = {AgentSecOps},
title = {sast-semgrep security audit report (audit version 10)},
institution = {Skillstore},
year = {2026},
number = {10},
url = {https://skillstore.io/skills/agentsecops-sast-semgrep/audits/10},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sast-semgrep security audit report (audit version 10)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sast-semgrep/audits/10"
identifiers:
- type: other
value: "skillstore:agentsecops-sast-semgrep:audit:10"
description: "Skillstore immutable audit report identifier"
Skillstore 점수
이 점수의 이유 증거 신뢰도: 중간 59
아키텍처
100
유지보수성
87
콘텐츠
70
커뮤니티
91
사양 준수
만들 수 있는 것
풀 리퀘스트 보안 게이트
병합 전에 심각한 발견 항목을 차단하는 Semgrep 검사를 추가합니다.
보안 검토 분류
Semgrep 발견 항목을 위험도, 표준, 개선 우선순위별로 그룹화합니다.
사용자 지정 규칙 개발
반복적으로 발생하는 안전하지 않은 패턴에 대한 조직별 규칙 초안을 작성합니다.
이 프롬프트를 사용해 보세요
기본 스캔 실행
이 저장소에 대한 Semgrep 보안 스캔을 계획하고 시작용 규칙 세트를 선택하도록 도와주세요.
발견 항목 분류
이 Semgrep 발견 항목을 검토하고, 위험도별로 그룹화하고, 표준에 매핑하며, 수정 순서를 제안해 주세요.
CI 게이트 구축
SARIF를 보고하고 심각한 것으로 확인된 발견 항목에서만 실패하는 Semgrep CI 게이트를 설계해 주세요.
사용자 지정 규칙 생성
테스트와 오탐 제어를 포함하여 안전하지 않은 헬퍼 패턴에 대한 Semgrep 규칙 계획을 만들어 주세요.
모범 사례
- 심각한 발견 항목부터 시작한 다음, 노이즈가 많은 규칙을 조정한 후 적용 범위를 확장하세요.
- 프로덕션 배포 전에 CI action, image, package 버전을 고정하세요.
- 허용된 오탐은 소유자, 사유, 검토 날짜와 함께 문서화하세요.
피하기
- 조정되지 않은 정보성 발견 항목 때문에 모든 빌드를 실패 처리하지 마세요.
- 검토 없이 Semgrep 출력을 악용 가능성의 증거로 간주하지 마세요.
- 권한 및 버전 고정을 조정하지 않고 CI 스니펫을 복사하지 마세요.
자주 묻는 질문
이 스킬이 Semgrep을 자체적으로 실행하나요?
워크플로, 명령, 규칙, 검토 지침을 제공합니다. Semgrep은 사용자의 환경에서 사용할 수 있어야 합니다.
수동 보안 검토를 대체할 수 있나요?
아니요. 패턴을 찾고 우선순위를 정하는 데 도움을 주지만, 사람은 컨텍스트, 영향, 수정 품질을 확인해야 합니다.
어떤 표준을 참조하나요?
OWASP Top 10, CWE, SANS Top 25, Semgrep rule registry 개념을 참조합니다.
Claude, Codex, Claude Code와 함께 사용할 수 있나요?
예. 메타데이터에는 Claude, Codex, Claude Code 지원이 명시되어 있습니다.
무엇을 먼저 사용자 지정해야 하나요?
규칙 세트, 심각도 임계값, 무시할 경로, SARIF 업로드 설정, 버전 고정을 사용자 지정하세요.
어떤 출력을 기대해야 하나요?
스캔 계획, 분류 지침, 표준 매핑, 개선 메모, CI 통합 조언을 기대할 수 있습니다.
개발자 세부 정보
작성자
AgentSecOps라이선스
MIT
작성자 버전
v0.1.0
Skillstore 리비전
r2
참조
9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2
유지보수 최신성
2026. 7. 25.
사용량
11 다운로드 · 227 조회