技能 vibe-security
📦
vibe-security
內容修訂 r1 高風險 ⚡ 包含腳本⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數
使用 Vibe Security 稽核程式碼安全性
安全性審查很難在各種語言與框架中一致地執行。此技能會引導 Claude、Codex 和 Claude Code 進行弱點掃描、相依性檢查、修正建議與報告產生。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "vibe-security" from https://skillstore.io/skills/0x8506-vibe-security.md and its manifest at https://skillstore.io/api/skills/0x8506-vibe-security/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「vibe-security」。 發布前掃描我的 Express API。
預期結果:
- 嚴重問題會優先列出，並包含受影響檔案與建議修正。
- 相依性發現會與原始碼發現分開列示。
- 摘要包含驗證、注入與 XSS 路徑的後續測試。
正在使用「vibe-security」。 審查這個 Python handler 是否有命令注入。
預期結果:
- 報告會在使用者輸入流向程序執行時，識別不安全的命令建構。
- 它會建議使用引數陣列、嚴格允許清單，以及針對被拒絕輸入的測試。
正在使用「vibe-security」。 為 CI 結果產生稽核報告。
預期結果:
- 此技能可將掃描結果格式化為可讀摘要與機器可使用的產物。
- 輸出會分離嚴重性、弱點類型、受影響位置與修復指引。
安全審計
高風險v12 • 2026/7/9 開啟版本化報告
Most static findings are vulnerability examples, scanner signatures, or documentation blocks rather than executable dangerous behavior. Real risks remain from local file modification in the auto-fix engine, dependency scanners that invoke package-manager tools, and privileged installation guidance in the skill documentation.
19
已掃描檔案
2,818
分析行數
9
複核項目
0
已忽略的誤報
已確認的安全問題 (1)
高
Auto-fix Can Modify Arbitrary User-Supplied Files
The auto-fix engine accepts a filepath argument, reads that file, backs it up, and writes replacement content. This is intended functionality, but marketplace installation should disclose that the skill can alter local project files.
The implementation constructs Path(filepath), reads file content, creates a backup, and writes fixed content without constraining the path to project_path.
能力複核項目 (9)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
Python subprocess.run
result = subprocess.run(
The dependency scanner runs npm audit as an external command in the target project. Arguments are hardcoded, but it invokes local tooling and may contact registries.
高
Python subprocess.run
result = subprocess.run(
The dependency scanner runs pip-audit as an external command against requirements.txt. This is expected security tooling, but it executes local tools and can perform network lookups.
高
Python subprocess.run
result = subprocess.run(
The scanner runs go list as an external command in the project. Arguments are fixed, but external tool execution can inspect modules and contact configured sources.
高
Python subprocess.run
result = subprocess.run(
The scanner runs cargo audit as an external command. This is legitimate dependency auditing, but it depends on local tool behavior and external advisory data.
高
PowerShell invocation
```powershell
The documentation opens a PowerShell installation block for winget. This is an OS-level install instruction, so users should review it before running.
高
sudo privilege escalation
sudo apt update && sudo apt install nodejs npm
The installation instructions include sudo apt update and package installation. Privileged package installation is a real operational risk for marketplace users.
中
Python file write/append
with open(self.history_file, 'w') as f:
The auto-fix engine writes fix history into the project backup directory. This is expected behavior, but it is a real filesystem side effect that persists audit metadata.
中
Python shutil operations
shutil.copy2(filepath, backup_path)
The auto-fix engine copies target files into backups before applying fixes. This is a real filesystem operation on user-selected source files.
中
Python shutil operations
shutil.copy2(backup_path, target_file)
Rollback restores files from backup with shutil.copy2. This is intended, but it can overwrite project files and should require explicit user approval.
風險因素
⚡ 包含腳本 (20)
data/fix-templates.csv:3 data/patterns.csv:5 data/patterns.csv:13 data/patterns.csv:17 data/vulnerabilities.csv:3 data/vulnerabilities.csv:4 scripts/ast_analyzer.py:159 scripts/ast_analyzer.py:164 scripts/ast_analyzer.py:171 scripts/ast_analyzer.py:171 scripts/dataflow_analyzer.py:175 scripts/dataflow_analyzer.py:176 scripts/dataflow_analyzer.py:177 scripts/dataflow_analyzer.py:178 scripts/dataflow_analyzer.py:180 scripts/dataflow_analyzer.py:181 scripts/fix_engine.py:250 scripts/fix_engine.py:250 scripts/search.py:12-18 SKILL.md:335
⚙️ 外部命令 (50)
data/fix-templates.csv:4 data/fix-templates.csv:4 data/fix-templates.csv:2 data/fix-templates.csv:11 data/patterns.csv:11 data/patterns.csv:2 data/patterns.csv:4-6 data/vulnerabilities.csv:4 data/vulnerabilities.csv:4 data/vulnerabilities.csv:2 data/vulnerabilities.csv:4 scripts/ast_analyzer.py:48 scripts/cve_integration.py:33 scripts/cve_integration.py:72 scripts/cve_integration.py:125 scripts/cve_integration.py:148 scripts/dataflow_analyzer.py:181-186 scripts/dataflow_analyzer.py:182 scripts/dataflow_analyzer.py:34 scripts/dataflow_analyzer.py:35 scripts/dataflow_analyzer.py:33 scripts/fix_engine.py:250 SKILL.md:361 SKILL.md:364 SKILL.md:14-16 SKILL.md:16-22 SKILL.md:22-24 SKILL.md:24-28 SKILL.md:28-30 SKILL.md:30-34 SKILL.md:34-36 SKILL.md:36-114 SKILL.md:114-130 SKILL.md:130-134 SKILL.md:134-138 SKILL.md:138-173 SKILL.md:173-178 SKILL.md:178-186 SKILL.md:186-192 SKILL.md:192-198 SKILL.md:198-209 SKILL.md:209-225 SKILL.md:225-245 SKILL.md:245-305 SKILL.md:305-306 SKILL.md:306-307 SKILL.md:307-308 SKILL.md:308-309 SKILL.md:309-310 SKILL.md:310-311
🌐 網路存取 (10)
📁 檔案系統存取 (16)
data/fix-templates.csv:7 data/vulnerabilities.csv:7 scripts/autofix_engine.py:36 scripts/autofix_engine.py:47 scripts/autofix_engine.py:183 scripts/cve_integration.py:82 scripts/cve_integration.py:159 scripts/cve_integration.py:226 scripts/fix_engine.py:306 scripts/fix_engine.py:314-315 scripts/reporter.py:159 scripts/reporter.py:214 scripts/reporter.py:243 scripts/reporter.py:210 SKILL.md:308 SKILL.md:484
審計單位: claude 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/0x8506-vibe-security/audits/12?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/0x8506-vibe-security?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/0x8506-vibe-security?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/0x8506-vibe-security/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/0x8506-vibe-security.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
0x8506. (2026). vibe-security security audit report (audit version 12) [Author version unspecified]. Skillstore. https://skillstore.io/skills/0x8506-vibe-security/audits/12BibTeX 引用
@techreport{0x8506-0x8506-vibe-security-2026,
author = {0x8506},
title = {vibe-security security audit report (audit version 12)},
institution = {Skillstore},
year = {2026},
number = {12},
url = {https://skillstore.io/skills/0x8506-vibe-security/audits/12},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "vibe-security security audit report (audit version 12)"
version: "unspecified"
type: report
authors:
- name: "0x8506"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/0x8506-vibe-security/audits/12"
identifiers:
- type: other
value: "skillstore:0x8506-vibe-security:audit:12"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 高 45
架構
85
可維護性
87
內容
80
社群
83
規範符合度
你可以打造什麼
在發布前審查應用程式碼
在部署前掃描原始檔，找出注入、XSS、弱加密、驗證與不安全反序列化模式。
提升開發者修復速度
使用修正建議與復原支援，協助開發者理解並安全修正常見弱點。
準備 CI 安全性產物
產生 SARIF、JSON、CSV 或 HTML 輸出，以支援程式碼掃描工作流程與稽核記錄。
試試這些提示
執行基本安全掃描
使用 Vibe Security 掃描此專案中的常見安全弱點。優先摘要列出嚴重與高風險發現。
檢查單一檔案的注入風險
使用 Vibe Security 分析此檔案是否存在 SQL 注入、命令注入、XSS 與不安全反序列化。說明每個已確認的問題。
建議安全修復方式
使用 Vibe Security 為這些弱點提出修正。包含更安全的模式、要執行的測試，以及任何需要驗證的行為變更。
產生發布安全性報告
針對程式碼、相依性與組態執行完整的 Vibe Security 審查。產生包含修復負責人與發布阻斷項目的優先排序報告。
最佳實務
- 在乾淨的分支上執行掃描，並在提交變更前審查任何自動修正 diff。
- 在依賴相依性掃描結果前，先安裝並驗證本機稽核工具。
- 將掃描器發現視為分流輸入，並在應用程式情境中確認可利用性。
避免
- 不要在未審查目標路徑與備份的情況下，對敏感儲存庫執行自動修正。
- 不要只因高嚴重性發現出現在產生的報告中就忽略它們。
- 不要將內建範例視為目標應用程式存在弱點的證明。
常見問題
此技能會執行命令嗎？
會。某些工作流程會叫用本機稽核工具，例如 npm audit、pip-audit、go list 和 cargo audit。
它可以修改我的檔案嗎？
可以。自動修正引擎可以寫入變更並建立備份。接受變更前請先審查。
涵蓋哪些語言？
文件涵蓋 JavaScript、TypeScript、Python、PHP、Java、Go 和 Ruby，其中對 Python 和 JavaScript 的腳本支援最強。
它會找出相依性弱點嗎？
當工具與 manifest 檔案存在時，它可以為 npm、Python、Go 和 Rust 專案呼叫本機稽核工具。
它可以產生報告嗎？
可以。它包含根據掃描結果資料產生 HTML、SARIF、CSV 和 JSON 格式報告的功能。
這足以用於合規嗎？
不行。它可以支援證據收集，但合規決策需要人工審查與組織特定的控制措施。