security-scan

Überblick über den security-scan Skill

Was security-scan macht

Der security-scan Skill prüft die .claude/-Konfiguration eines Claude Code-Projekts mit AgentShield auf Sicherheitsrisiken. Er sucht nach Geheimnissen, riskanten MCP-Server-Konfigurationen, anfälligen Anweisungen für Injections, gefährlichen Bypass-Flags sowie schwachen Agent- oder Hook-Definitionen.

Wer ihn installieren sollte

Nutzen Sie den security-scan Skill, wenn Sie Claude-Code-Konfigurationen pflegen, Setups für KI-Agenten prüfen oder vor dem Commit von Änderungen einen wiederholbaren Sicherheitscheck brauchen. Besonders nützlich ist er für Repo-Owner, Plattform-Engineers und alle, die sich in ein bestehendes Projekt mit unbekannter .claude-Hygiene einarbeiten.

Warum das in der Praxis wichtig ist

Ein allgemeiner Prompt übersieht schnell threats, die speziell aus der Konfiguration entstehen. Dieser Skill ist auf die eigentliche Aufgabe ausgerichtet: zügig einzuschätzen, ob ein Claude-Code-Setup sicher genug ist, und genau zu erkennen, wo das Risiko sitzt, damit Sie es beheben können, bevor es sich ausbreitet.

So verwenden Sie den security-scan Skill

Toolchain installieren und prüfen

Für security-scan install fügen Sie den Skill über den Repo-Pfad des Verzeichnisses hinzu:
npx skills add affaan-m/everything-claude-code --skill security-scan

Prüfen Sie danach, ob AgentShield verfügbar ist:
npx ecc-agentshield --version

Falls nötig, installieren Sie es global mit npm install -g ecc-agentshield, oder führen Sie Scans direkt mit npx ecc-agentshield scan . aus.

Dem Skill die richtige Eingabe geben

Die security-scan usage funktioniert am besten, wenn Sie auf einen konkreten Claude-Code-Workspace zeigen und die Änderung beschreiben, die Sie prüfen möchten. Eine gute Eingabe sieht zum Beispiel so aus: „Scanne den .claude/-Ordner dieses Repos nach den neuen MCP-Server- und Hook-Änderungen und markiere jede mögliche Geheimnis-Offenlegung, Injection-Pfade oder zu weit gefassten Tool-Zugriffe.“

Die Dateien in dieser Reihenfolge lesen

Beginnen Sie mit SKILL.md und prüfen Sie dann CLAUDE.md, .claude/settings.json, mcp.json, hooks/ und agents/*.md. Diese Reihenfolge entspricht der Scan-Fläche und hilft dabei, Befunde der jeweils richtigen Konfigurationsdatei zuzuordnen, statt die Ausgabe als generischen Sicherheitsbericht zu behandeln.

Als Review-Schleife verwenden, nicht als einmaligen Lauf

Führen Sie den Scan vor dem Commit, nach Konfigurationsänderungen und beim Onboarding in ein Repo erneut aus. Für security-scan for Security Audit sollten Sie sich darauf konzentrieren, ob jeder Befund das Vertrauensniveau verändert: Geheimnisse müssen entfernt werden, riskante Befehle sollten eingeschränkt werden, und jede Exposition gegenüber Prompt-Injection sollte in explizite Einschränkungen umgeschrieben werden.

FAQ zum security-scan Skill

Ist security-scan nur für Claude-Code-Nutzer gedacht?

Ja. Dieser Skill ist auf Claude-Code-Konfigurationen in .claude/ ausgerichtet, nicht auf allgemeines Application-Security-Scanning oder die Suche nach Schwachstellen im Quellcode.

Worin unterscheidet er sich von einem normalen Prompt?

Ein normaler Prompt kann zwar um eine Sicherheitsprüfung bitten, aber security-scan codiert die genauen Bereiche, die geprüft werden sollen: CLAUDE.md, Settings, MCP-Server, Hooks und Agent-Dateien. Dadurch eignet er sich besser für wiederholbare Reviews und ist weniger davon abhängig, dass das Modell selbst errät, was mit „Sicherheit“ gemeint ist.

Ist er anfängerfreundlich?

Ja, sofern Sie die Claude-Code-Konfigurationsdateien des Repos erkennen können. Die wichtigste Einschränkung ist, dass Sie mit Befunden wie riskanter Shell-Interpolation, zu großzügigen Allow-Listen oder offengelegten Geheimnissen auch tatsächlich umgehen können müssen.

Wann sollte ich ihn nicht verwenden?

Verwenden Sie security-scan nicht als Ersatz für Anwendungstests auf Schwachstellen, Abhängigkeitsprüfungen oder Secrets-Scanning über die gesamte Codebasis. Am besten passt er, wenn sich die Sicherheitsfrage speziell auf die Claude-Code-Konfiguration bezieht.

So verbessern Sie den security-scan Skill

Den Scan-Umfang klar benennen

Die besten Ergebnisse mit security-scan entstehen, wenn Sie das exakte Verzeichnis, den Branch oder die Konfigurationsänderung nennen. „Scanne .claude/“ ist hilfreich; „prüfe mein Repo“ ist zu breit und erhöht das Risiko oberflächlicher Befunde.

Die Änderung nennen, vor der Sie die größte Sorge haben

Sagen Sie dem Skill, was sich geändert hat: ein neuer MCP-Server, ein modifizierter Hook, ein neuer Agent oder eine Anpassung an den Settings. So kann er den wahrscheinlichsten Fehlerfall höher gewichten, statt alles mit derselben Priorität zu behandeln.

Auf entscheidungsreife Ergebnisse bestehen

Wenn Sie eine bessere security-scan usage möchten, verlangen Sie Befunde im Fix-first-Format: Datei, Risiko, Relevanz und die kleinste sichere Änderung. Das reduziert Unklarheit und macht es leichter, Konfigurationen zu patchen, ohne zu überreagieren.

Nach dem ersten Durchlauf iterieren

Scannen Sie nach dem ersten Lauf nur noch die Dateien erneut, die Sie geändert haben. Für einen security-scan guide, der mit der Zeit bessere Ergebnisse liefert, sollten Sie jeden Befund als Anlass nehmen, Allow-Listen zu verschärfen, riskante Anweisungen zu entfernen oder Hooks zu vereinfachen, bevor Sie den nächsten Review starten.