cosmos-vulnerability-scanner

Visão geral da skill cosmos-vulnerability-scanner

O que a cosmos-vulnerability-scanner faz

A skill cosmos-vulnerability-scanner foi criada para encontrar bugs críticos para o consenso em código Cosmos SDK, contratos CosmWasm, integrações IBC e stacks Cosmos EVM. O foco são problemas que podem travar uma chain, quebrar o consenso, desincronizar o estado ou causar perda de fundos — não meros smells de código. Se você está em um fluxo de cosmos-vulnerability-scanner for Security Audit, essa é a opção certa quando a pergunta é “isso aqui pode ser explorado ou deixar a chain inutilizável?”, e não “o código está bonito?”.

Quem deve instalar

Use a skill cosmos-vulnerability-scanner se você audita módulos customizados de x/, lógica de bridge ou IBC, app chains antes do lançamento ou contratos CosmWasm com valor relevante em produção. Ela é especialmente útil quando o time precisa de uma varredura estruturada em várias classes de vulnerabilidade, em vez de uma revisão ad hoc baseada em prompts soltos. Ela agrega menos valor em auditorias puras de Solidity, revisões genéricas de Go ou componentes de chain fora da camada de aplicação.

O que a torna diferente

A skill não é só uma checklist; ela organiza as varreduras por categoria de vulnerabilidade e gera findings separados em markdown. Isso importa porque bugs em Cosmos costumam atravessar várias superfícies ao mesmo tempo: bookkeeping de estado, tratamento de pacotes IBC, autoridade de módulo e atomicidade entre EVM e Cosmos. Os arquivos de apoio em resources/ trazem famílias concretas de padrões, o que é muito mais acionável do que um prompt amplo de “revise em busca de bugs”.

Como usar a skill cosmos-vulnerability-scanner

Instale e aponte para o repositório certo

Para cosmos-vulnerability-scanner install, adicione a skill ao workspace do seu agente com o comando padrão de skills usado no seu ambiente e, em seguida, abra o arquivo da skill e os documentos de suporte vinculados antes de escanear um repositório-alvo. Na prática, a skill funciona melhor quando você informa exatamente qual base de código ela deve analisar e onde quer que a saída seja gravada. O diretório de saída padrão é .bughunt_cosmos/, mas você deve sobrescrevê-lo se o seu fluxo usar outro local.

Dê à skill a forma certa de entrada

Um prompt forte de cosmos-vulnerability-scanner usage inclui: o caminho do repositório, o tipo de chain, a finalidade do app e quaisquer pontos quentes já conhecidos. Por exemplo: “Escaneie esta app chain Cosmos SDK em busca de problemas críticos para o consenso em módulos customizados, handlers IBC e lógica de module account. Foque em pre-blockers, msg servers, writes de keeper e qualquer código que possa afetar supply, consenso ou transferências cross-chain.” Isso é muito melhor do que “revise este repositório”, porque direciona o scanner para os caminhos de código que realmente importam.

Leia estes arquivos primeiro

Comece por SKILL.md, depois leia CHANGELOG.md para entender mudanças de escopo e, por fim, os arquivos de padrão relevantes em resources/: DISCOVERY.md, VULNERABILITY_PATTERNS.md, STATE_VULNERABILITY_PATTERNS.md, IBC_VULNERABILITY_PATTERNS.md, EVM_VULNERABILITY_PATTERNS.md e COSMWASM_VULNERABILITY_PATTERNS.md. Se o alvo for uma chain Cosmos EVM, leia primeiro o arquivo de EVM; se o foco for contratos, priorize o arquivo de CosmWasm. Esses arquivos mostram o que a skill realmente verifica, o que evita deixar classes inteiras de bugs passarem batido.

Use um fluxo de auditoria prático

Primeiro, classifique a chain: Cosmos SDK puro, com IBC, com CosmWasm ou Cosmos EVM. Depois, inventarie módulos customizados, hooks de ABCI, keepers e message servers, porque é isso que define a superfície de ataque. Em seguida, rode a skill primeiro nos caminhos de maior risco: mutação de estado, checagens de autoridade, handlers de receive/acknowledgement de pacotes e qualquer coisa que toque bank, staking, authz ou module accounts. Isso traz resultados melhores do que varrer os arquivos na ordem do repositório.

Perguntas frequentes sobre a skill cosmos-vulnerability-scanner

Isso serve só para auditorias de chain inteira?

Não. A skill cosmos-vulnerability-scanner também é útil para revisões parciais, como um único módulo customizado, uma stack de middleware IBC ou um pacote de contrato CosmWasm. O ponto central é que o código precisa influenciar estado de consenso, movimentação de tokens ou comportamento cross-chain. Se o alvo da revisão não estiver nesse caminho, provavelmente a skill não é a ferramenta certa.

Como ela se compara com um prompt normal?

Um prompt comum pode pedir uma revisão de segurança, mas cosmos-vulnerability-scanner entrega estrutura específica de domínio, biblioteca de padrões e disciplina de saída. Isso reduz a chance de passar batido por modos de falha típicos do Cosmos, como erros de confiança em pacotes, abuso de module account ou desincronização de estado entre EVM e Cosmos. Ela é uma opção melhor quando você quer um comportamento repetível de cosmos-vulnerability-scanner guide, em vez de uma opinião pontual.

Ela é amigável para iniciantes?

Sim, desde que você consiga identificar o tipo de chain e os arquivos que definem as transições de estado. A skill fica mais valiosa quando o usuário fornece um pouco de contexto logo no início: versão do SDK, stack de IBC, se há runtime EVM e se o alvo é uma revisão de lançamento ou um incidente em produção. Iniciantes normalmente sofrem quando omitem esse contexto e esperam que o scanner adivinhe o perímetro da auditoria.

Quando eu não devo usá-la?

Não use cosmos-vulnerability-scanner para projetos EVM/Solidity puros, contratos Rust genéricos sem wasmd ou código claramente fora do impacto de consenso. Ela também é uma opção ruim para trabalho só de documentação ou para código de frontend/client. Se o seu objetivo é testar usabilidade e não análise de segurança, escolha outro fluxo.

Como melhorar a skill cosmos-vulnerability-scanner

Forneça contexto da chain, não só código

Os melhores resultados vêm quando você diz à skill o que a chain faz: DEX, staking, bridge, lending ou uma app chain de uso geral. Acrescente a versão do SDK, a versão do ibc-go e se o código usa x/evm, wasmd ou middleware de ICA. Isso ajuda o scanner a priorizar as famílias certas de vulnerabilidade em vez de gastar tempo com casos irrelevantes.

Nomeie explicitamente os caminhos de risco

Se você já suspeita de um bug, diga onde olhar: keeper/msg_server.go, app.go, ante.go, handlers OnRecvPacket do IBC, lógica de module account ou qualquer BeginBlocker/EndBlocker customizado. Entradas específicas costumam ser melhores do que genéricas, porque forçam a skill a inspecionar os pontos de mutação onde os incidentes em Cosmos normalmente nascem. Se você conhece uma área funcional específica, mencione isso diretamente.

Itere de findings para prompts mais específicos

Depois da primeira passagem, pegue o finding de maior risco e rode a skill de novo com uma pergunta mais estreita. Por exemplo, peça para revalidar um módulo em busca de quebra de invariantes, ou um caminho IBC em busca de confiança de canal e problemas de replay de pacotes. Essa é a forma mais rápida de aumentar a precisão no cosmos-vulnerability-scanner usage sem se afogar em saída duplicada.

Fique atento aos casos que a skill mais costuma deixar passar

O modo de falha mais comum é descrever mal as transições de estado: um trecho de código pode parecer inofensivo até tocar em autoridade de mint/burn, escrow, callbacks cross-chain ou fronteiras de precompile. Outro caso recorrente é assumir que código não relacionado ao consenso é seguro só porque não é um handler; um helper de módulo ainda pode ser perigoso se alimentar o caminho de consenso. A skill funciona melhor quando você diz onde o estado pode mudar e quem consegue disparar essa mudança.