security-scan

Visão geral da skill security-scan

O que a security-scan faz

A skill security-scan audita a configuração .claude/ de um projeto do Claude Code em busca de riscos de segurança usando o AgentShield. Ela procura segredos expostos, configurações arriscadas de servidores MCP, instruções propensas a injection, flags perigosas de bypass e definições fracas de agents ou hooks.

Quem deve instalar

Use a skill security-scan se você mantém configs do Claude Code, revisa setups de agentes de IA ou precisa de uma checagem de segurança repetível antes de commitar mudanças. Ela é mais útil para donos de repositório, engenheiros de plataforma e qualquer pessoa que esteja entrando em um projeto existente com higiene desconhecida em .claude.

Por que isso importa na prática

Um prompt genérico pode deixar passar ameaças específicas da configuração. Esta skill foi feita para o trabalho real: decidir rapidamente se um setup do Claude Code está seguro o suficiente para confiar e identificar onde o risco está, para corrigir antes que ele se espalhe.

Como usar a skill security-scan

Instale e confirme a toolchain

Para security-scan install, adicione a skill pelo caminho do repositório no diretório:
npx skills add affaan-m/everything-claude-code --skill security-scan

Depois confirme que o AgentShield está disponível:
npx ecc-agentshield --version

Se necessário, instale globalmente com npm install -g ecc-agentshield, ou rode as scans diretamente com npx ecc-agentshield scan ..

Dê à skill a entrada certa

O security-scan usage funciona melhor quando você aponta para um workspace específico do Claude Code e descreve a mudança que está revisando. Uma boa entrada seria: “Scan this repo’s .claude/ folder after the new MCP server and hook updates, and flag any secret exposure, injection paths, or overbroad tool access.”

Leia os arquivos nesta ordem

Comece com SKILL.md e depois inspecione CLAUDE.md, .claude/settings.json, mcp.json, hooks/ e agents/*.md. Essa ordem acompanha a superfície de scan e ajuda você a relacionar os achados ao arquivo de configuração exato, em vez de tratar o resultado como um relatório genérico de segurança.

Use um ciclo de revisão, não uma execução única

Rode a scan antes do commit, depois de editar configs e durante o onboarding em um repositório. Para security-scan for Security Audit, foque em saber se cada achado altera o nível de confiança: segredos devem ser removidos, comandos arriscados devem ser restringidos e qualquer exposição a prompt injection deve ser reescrita como restrições explícitas.

Perguntas frequentes sobre a security-scan

A security-scan é só para usuários do Claude Code?

Sim. Esta skill foi construída em torno da configuração do Claude Code em .claude/, e não para scanning geral de segurança de aplicações nem para caça a vulnerabilidades no código-fonte.

O que a diferencia de um prompt normal?

Um prompt comum pode pedir uma revisão de segurança, mas security-scan codifica as superfícies exatas que devem ser verificadas: CLAUDE.md, settings, servidores MCP, hooks e arquivos de agents. Isso a torna melhor para revisões repetíveis e menos dependente de o modelo adivinhar o que “segurança” significa.

Ela é amigável para iniciantes?

Sim, desde que você consiga identificar os arquivos de configuração do Claude Code no repositório. A principal limitação é que ela pressupõe que você consiga agir sobre os achados, como interpolação insegura de shell, allow lists permissivas ou segredos expostos.

Quando não devo usá-la?

Não use security-scan como substituta de testes de vulnerabilidade da aplicação, auditoria de dependências ou scanning de segredos em todo o codebase. Ela é mais indicada quando a pergunta de segurança é especificamente sobre a configuração do Claude Code.

Como melhorar a skill security-scan

Deixe o escopo da scan explícito

Os melhores resultados da security-scan vêm de nomear o diretório, branch ou mudança de configuração exatos. “Scan .claude/” é útil; “review my repo” é amplo demais e aumenta a chance de achados rasos.

Informe a mudança que mais te preocupa

Diga à skill o que mudou: um novo servidor MCP, um hook alterado, um novo agent ou um ajuste de settings. Isso ajuda a priorizar o modo de falha mais provável, em vez de relatar tudo com o mesmo peso.

Peça saída pronta para decisão

Se você quer uma melhor security-scan usage, solicite achados em um formato orientado a correção: arquivo, risco, por que isso importa e a menor mudança segura. Isso reduz a ambiguidade e facilita corrigir configs sem exagerar na resposta.

Itere depois da primeira passagem

Depois da primeira execução, rode novamente apenas nos arquivos que você alterou. Para um security-scan guide que melhora ao longo do tempo, trate cada achado como um convite para apertar allow lists, remover instruções arriscadas ou simplificar hooks antes da próxima revisão.