Codeql

coverage-analysis te ayuda a medir el código ejercitado durante el fuzzing, detectar bloqueos como comprobaciones de valores mágicos y comparar cambios en el harness. Usa esta skill de coverage-analysis en flujos de trabajo de Security Audit cuando necesites una guía clara de uso, instalación y decisiones repetibles sobre coverage-analysis.

Skill de Semgrep para análisis estático en bases de código, con detección automática de lenguaje, workers en paralelo, salida SARIF fusionada y aprobación previa del plan. Pensado para flujos de trabajo de auditoría de seguridad con semgrep, admite los modos run all e important only, usa `--metrics=off` y puede aprovechar Semgrep Pro cuando está disponible.

sarif-parsing es una skill posterior al escaneo para leer, filtrar, deduplicar, resumir y convertir resultados SARIF 2.1.0 de herramientas como CodeQL y Semgrep. Úsala cuando ya tengas la salida de un análisis y necesites un parsing claro, agregación o una transformación lista para CI/CD. No sirve para ejecutar escaneos.

La skill de codeql te ayuda a ejecutar CodeQL con menos puntos ciegos durante una auditoría de seguridad. Se centra en la calidad de la base de datos, la selección de suites, las extensiones de datos y la revisión de SARIF, para que puedas usar codeql con más fiabilidad en los idiomas compatibles. Úsala para seguir pasos repetibles de la guía de codeql al analizar repositorios reales.

variant-analysis te ayuda a encontrar vulnerabilidades y errores similares en todo un codebase después de confirmar un único problema. Úsalo para crear consultas de CodeQL o Semgrep, seguir un flujo de trabajo centrado primero en la causa raíz y ejecutar una guía de variant-analysis enfocada para trabajos de auditoría de seguridad. Es ideal para búsquedas posteriores al hallazgo, no para una revisión inicial amplia.