security-scan

Vue d’ensemble du skill security-scan

Ce que fait security-scan

Le skill security-scan audite la configuration .claude/ d’un projet Claude Code à la recherche de risques de sécurité à l’aide d’AgentShield. Il détecte les secrets, les configurations risquées de serveurs MCP, les instructions vulnérables aux injections, les flags de contournement dangereux, ainsi que les définitions d’agent ou de hook trop faibles.

Qui devrait l’installer

Utilisez le skill security-scan si vous maintenez des configs Claude Code, examinez des setups d’agents IA ou avez besoin d’un contrôle de sécurité reproductible avant de valider des changements. Il est particulièrement utile pour les propriétaires de dépôts, les platform engineers et toute personne qui rejoint un projet existant dont l’hygiène .claude/ est inconnue.

Pourquoi c’est important en pratique

Un prompt générique peut passer à côté de menaces propres à la configuration. Ce skill est conçu pour la vraie tâche : décider rapidement si un setup Claude Code est suffisamment sûr pour être approuvé, et identifier précisément où se situe le risque afin de le corriger avant qu’il ne se propage.

Comment utiliser le skill security-scan

Installer et vérifier la chaîne d’outils

Pour security-scan install, ajoutez le skill depuis le chemin du dépôt du répertoire :
npx skills add affaan-m/everything-claude-code --skill security-scan

Vérifiez ensuite qu’AgentShield est disponible :
npx ecc-agentshield --version

Si besoin, installez-le globalement avec npm install -g ecc-agentshield, ou lancez directement les scans avec npx ecc-agentshield scan ..

Donner au skill la bonne entrée

L’usage de security-scan est meilleur quand vous le pointez vers un workspace Claude Code précis et que vous décrivez le changement que vous examinez. Une bonne entrée ressemble à : « Scanne le dossier .claude/ de ce repo après les mises à jour du nouveau serveur MCP et des hooks, et signale toute exposition de secrets, tout chemin d’injection ou tout accès trop large aux outils. »

Lire les fichiers dans cet ordre

Commencez par SKILL.md, puis inspectez CLAUDE.md, .claude/settings.json, mcp.json, hooks/ et agents/*.md. Cet ordre correspond à la surface de scan et vous aide à rattacher les résultats au fichier de configuration exact, au lieu de traiter la sortie comme un rapport de sécurité générique.

Utiliser une boucle de revue, pas un scan isolé

Lancez le scan avant le commit, après chaque modification de configuration et pendant l’onboarding sur un dépôt. Pour security-scan for Security Audit, concentrez-vous sur la question de confiance que pose chaque résultat : les secrets doivent être supprimés, les commandes à risque doivent être resserrées, et toute exposition à une prompt injection doit être réécrite en contraintes explicites.

FAQ sur le skill security-scan

security-scan est-il réservé aux utilisateurs de Claude Code ?

Oui. Ce skill est construit autour de la configuration Claude Code dans .claude/, pas autour de l’analyse de sécurité d’applications générales ni de la recherche de vulnérabilités dans le code source.

Qu’est-ce qui le distingue d’un prompt normal ?

Un prompt normal peut demander un audit de sécurité, mais security-scan encode les surfaces exactes à vérifier : CLAUDE.md, les settings, les serveurs MCP, les hooks et les fichiers d’agent. Cela le rend plus adapté aux revues répétables et moins dépendant de ce que le modèle suppose être la « sécurité ».

Est-il adapté aux débutants ?

Oui, si vous savez repérer les fichiers de configuration Claude Code du dépôt. La principale limite est qu’il suppose que vous pouvez agir sur des résultats comme une interpolation shell risquée, des allow lists trop permissives ou des secrets exposés.

Quand ne faut-il pas l’utiliser ?

N’utilisez pas security-scan comme substitut aux tests de vulnérabilité applicative, à l’audit des dépendances ou au scan de secrets sur l’ensemble de la base de code. Il est surtout pertinent lorsque la question de sécurité porte spécifiquement sur la configuration Claude Code.

Comment améliorer le skill security-scan

Rendre le périmètre du scan explicite

Les meilleurs résultats de security-scan viennent d’un périmètre clair : indiquez le répertoire exact, la branche ou la modification de configuration. « Scanne .claude/ » est utile ; « examine mon repo » est trop vague et augmente le risque d’obtenir des conclusions superficielles.

Décrire le changement qui vous inquiète le plus

Dites au skill ce qui a changé : un nouveau serveur MCP, un hook modifié, un nouvel agent ou un ajustement de settings. Cela l’aide à pondérer le mode de défaillance le plus probable au lieu de tout classer au même niveau de priorité.

Demander une sortie exploitable pour décider

Si vous voulez de meilleurs résultats de security-scan usage, demandez des conclusions au format « correction d’abord » : fichier, risque, importance, et plus petit changement sûr possible. Cela réduit l’ambiguïté et facilite le patch des configs sans surcorriger.

Itérer après le premier passage

Après la première exécution, rescannez uniquement les fichiers modifiés. Pour un security-scan guide qui s’améliore avec le temps, traitez chaque résultat comme une invitation à resserrer les allow lists, supprimer les instructions risquées ou simplifier les hooks avant la revue suivante.