cosmos-vulnerability-scanner

Descripción general de la skill cosmos-vulnerability-scanner

Qué hace cosmos-vulnerability-scanner

La skill cosmos-vulnerability-scanner está diseñada para encontrar bugs críticos para el consenso en código de Cosmos SDK, contratos CosmWasm, integraciones IBC y stacks Cosmos EVM. Se centra en problemas que pueden detener una cadena, romper el consenso, desincronizar el estado o provocar pérdida de fondos, no en simples olores de código. Si estás siguiendo un flujo de cosmos-vulnerability-scanner for Security Audit, esta es la opción adecuada cuando la pregunta es “¿se puede explotar o inutilizar esta cadena?” y no “¿el código está limpio?”

Quién debería instalarla

Usa la skill cosmos-vulnerability-scanner si auditas módulos personalizados x/, lógica de puentes o IBC, app chains previas al lanzamiento o contratos CosmWasm con valor on-chain significativo. Resulta especialmente útil cuando tu equipo necesita un repaso estructurado de varias clases de vulnerabilidades en lugar de una revisión improvisada basada en prompts. Es menos útil para auditorías puras de Solidity, revisiones genéricas de Go o componentes de cadena que estén fuera de la capa de aplicación.

Qué la hace diferente

La skill no es solo una lista de verificación; organiza los análisis por categoría de vulnerabilidad y genera hallazgos markdown separados. Eso importa porque los bugs de Cosmos suelen abarcar varias superficies a la vez: contabilidad de estado, manejo de paquetes IBC, autoridad de módulos y atomicidad entre EVM y Cosmos. Los archivos de apoyo de resources/ te dan familias de patrones concretas, lo que resulta mucho más accionable que un prompt amplio de “revisa bugs”.

Cómo usar la skill cosmos-vulnerability-scanner

Instálala y apúntala al repositorio correcto

Para cosmos-vulnerability-scanner install, añade la skill al workspace de tu agente con el comando estándar de skills que use tu entorno y, después, abre el archivo de la skill y la documentación de soporte enlazada antes de analizar un repositorio objetivo. En la práctica, la skill funciona mejor cuando le indicas exactamente qué base de código debe analizar y dónde quieres que escriba la salida. El directorio de salida predeterminado es .bughunt_cosmos/, pero conviene cambiarlo si tu flujo espera otra ubicación.

Dale la forma de entrada adecuada

Un prompt sólido para cosmos-vulnerability-scanner usage incluye: la ruta del repo, el tipo de cadena, el propósito de la app y cualquier punto caliente ya conocido. Por ejemplo: “Analiza esta app chain de Cosmos SDK en busca de problemas críticos para el consenso en módulos personalizados, handlers IBC y lógica de cuentas de módulo. Enfócate en bloqueadores previos al bloque, msg servers, escrituras de keeper y cualquier código que pueda afectar la oferta, el consenso o las transferencias entre cadenas.” Eso es mucho mejor que “revisa este repo”, porque orienta el escáner hacia las rutas de código que importan.

Lee primero estos archivos

Empieza por SKILL.md, luego revisa CHANGELOG.md para ver cambios de alcance y, después, los archivos de patrones relevantes en resources/: DISCOVERY.md, VULNERABILITY_PATTERNS.md, STATE_VULNERABILITY_PATTERNS.md, IBC_VULNERABILITY_PATTERNS.md, EVM_VULNERABILITY_PATTERNS.md y COSMWASM_VULNERABILITY_PATTERNS.md. Si el objetivo es una cadena Cosmos EVM, lee primero el archivo de EVM; si el foco está en contratos, prioriza el archivo de CosmWasm. Estos archivos te dicen qué revisa realmente la skill, y así evitas pasar por alto clases enteras de bugs.

Usa un flujo de auditoría práctico

Primero, clasifica la cadena: Cosmos SDK puro, con IBC, con CosmWasm o Cosmos EVM. Después, inventaría módulos personalizados, hooks ABCI, keepers y message servers, porque eso define la superficie de ataque. Luego ejecuta la skill primero sobre las rutas de mayor riesgo: mutación de estado, checks de autoridad, handlers de recepción/acuse de paquetes y cualquier cosa que toque bank, staking, authz o cuentas de módulo. Así obtendrás mejores resultados que si escaneas los archivos en orden de repositorio.

Preguntas frecuentes de cosmos-vulnerability-scanner

¿Solo sirve para auditorías completas de cadena?

No. La skill cosmos-vulnerability-scanner también sirve para revisiones parciales, como un módulo personalizado, una pila concreta de middleware IBC o un paquete de contratos CosmWasm. La clave es que el código influya en el estado de consenso, el movimiento de tokens o el comportamiento entre cadenas. Si tu objetivo de revisión no entra en esa ruta, probablemente esta no sea la herramienta adecuada.

¿En qué se diferencia de un prompt normal?

Un prompt normal puede pedir una revisión de seguridad, pero cosmos-vulnerability-scanner te da una estructura específica del dominio, una biblioteca de patrones y disciplina en la salida. Eso reduce el riesgo de pasar por alto modos de fallo propios de Cosmos, como errores de confianza en paquetes, abuso de cuentas de módulo o desincronización de estado entre EVM y Cosmos. Encaja mejor cuando quieres un comportamiento repetible de cosmos-vulnerability-scanner guide en lugar de una opinión aislada.

¿Es apta para principiantes?

Sí, si puedes identificar el tipo de cadena y los archivos que definen las transiciones de estado. La skill es más valiosa cuando la persona usuaria aporta un poco de contexto de antemano: versión del SDK, pila IBC, si hay runtime EVM y si el objetivo es una revisión de lanzamiento o un incidente en producción. Los principiantes suelen fallar cuando omiten ese contexto y esperan que el escáner deduzca por sí solo el perímetro de auditoría.

¿Cuándo no debería usarla?

No uses cosmos-vulnerability-scanner en proyectos puramente EVM/Solidity, contratos Rust genéricos sin wasmd ni código que esté claramente fuera del impacto en el consenso. Tampoco encaja bien con trabajo solo de documentación o con código frontend/cliente. Si tu objetivo es probar usabilidad y no análisis de seguridad, usa otro flujo.

Cómo mejorar la skill cosmos-vulnerability-scanner

Aporta contexto de cadena, no solo código

Los mejores resultados llegan cuando le dices a la skill qué hace la cadena: DEX, staking, bridge, lending o una app chain de propósito general. Añade la versión del SDK, la versión de ibc-go y si el código usa x/evm, wasmd o middleware ICA. Eso ayuda al escáner a priorizar las familias de vulnerabilidades correctas en lugar de perder tiempo en las irrelevantes.

Nombra explícitamente las rutas de riesgo

Si ya sospechas de un bug, di exactamente dónde mirar: keeper/msg_server.go, app.go, ante.go, handlers IBC OnRecvPacket, lógica de cuentas de módulo o cualquier BeginBlocker/EndBlocker personalizado. Las entradas concretas funcionan mejor que las amplias porque obligan a la skill a inspeccionar los puntos de mutación donde suelen originarse los incidentes en Cosmos. Si conoces un área funcional, menciónala directamente.

Itera desde hallazgos hacia prompts más estrechos

Después de la primera pasada, toma el hallazgo de mayor riesgo y vuelve a ejecutar la skill con una pregunta más precisa. Por ejemplo, pídele que vuelva a revisar un módulo concreto en busca de rupturas de invariantes, o una ruta IBC específica por problemas de confianza del canal y repetición de paquetes. Es la forma más rápida de mejorar la precisión en cosmos-vulnerability-scanner usage sin ahogarte en salidas duplicadas.

Vigila los casos que más se suelen pasar por alto

El fallo más común es describir poco las transiciones de estado: un código puede parecer inocente hasta que toca autoridad de mint/burn, escrow, callbacks entre cadenas o límites de precompile. Otro caso típico es asumir que el código fuera del consenso es seguro solo porque no es un handler; un helper de módulo también puede ser peligroso si alimenta la ruta de consenso. La skill funciona mejor cuando le indicas dónde puede cambiar el estado y quién puede disparar ese cambio.