Trail of Bits Skills: przegląd bezpieczeństwa własnego kodu

Co robi

Co to jest

Trail of Bits to znana firma zajmująca się bezpieczeństwem. Opublikowała duży zbiór umiejętności (skills) do przeglądu kodu i pracy nad bezpieczeństwem. Ten wpis opisuje te, które służą do przeglądu.

differential-review sprawdza zmianę w kodzie pod kątem problemów z bezpieczeństwem, korzystając z historii git.
insecure-defaults szuka ustawień, które w razie awarii nie chronią, na przykład domyślnego hasła.
supply-chain-risk-auditor sprawdza pakiety, z których korzysta projekt.

Komu pomaga

Programistom, którzy chcą, żeby ktoś jeszcze raz spojrzał na ich własny kod przed wydaniem.

Zasady

Testuj tylko kod, który należy do Ciebie lub który możesz testować na podstawie pisemnej zgody. Nie kieruj tych narzędzi na cudze systemy.

Uważaj

Przegląd AI może przeoczyć problemy i zgłosić takie, które nie istnieją. Nie zastępuje profesjonalnego audytu ważnych systemów.

Jak zainstalować

$ /plugin marketplace add trailofbits/skills

$ /plugin install differential-review@trailofbits

$ /plugin install insecure-defaults@trailofbits

$ /plugin install supply-chain-risk-auditor@trailofbits

Jak tego używać

Otwórz kod, który należy do Ciebie, a potem poproś o przegląd bezpieczeństwa jakiejś zmiany, wyszukanie niebezpiecznych ustawień domyślnych albo kontrolę zależności pakietów. Przeczytaj każdy wynik i sprawdź go, zanim cokolwiek zrobisz. Część wyników to fałszywe alarmy.

Na co uważać

Używaj tych umiejętności tylko na kodzie, który należy do Ciebie lub który możesz testować na podstawie pisemnej zgody. Niektóre umiejętności w tym zbiorze służą do głębszych badań nad atakami. Na liście są tylko te do przeglądu.
Wyniki mogą być błędne. Sprawdź każdy z nich ręcznie.
Niektóre umiejętności korzystają z zewnętrznych narzędzi, takich jak Semgrep lub CodeQL, albo pobierają z internetu dane o lukach w zabezpieczeniach.
Licencja to CC-BY-SA-4.0. Jeśli kopiujesz lub zmieniasz te umiejętności i je udostępniasz, musisz podać autorów i użyć tej samej licencji.

Licencja i autor

Licencja: CC-BY-SA-4.0
Autor: Trail of Bits
Kod źródłowy: github.com/trailofbits/skills

Jak to testowaliśmy

12 października 2026 zainstalowaliśmy ten dodatek na czystym komputerze testowym. Częściowo przetestowane: zainstalowaliśmy go w czystym systemie testowym, ale główne funkcje wymagają konta lub klucza, których nie użyliśmy.

Poziom testu

Nie uruchomiliśmy żadnego przeglądu. Wtyczka insecure-defaults zainstalowała się bez plików umiejętności w swoim folderze, więc zanim na niej polegasz, sprawdź jej plik README. Nie zainstalowaliśmy narzędzi takich jak Semgrep i CodeQL.

Szczegóły techniczne testu

Data: 12 października 2026
Metoda: Dodaliśmy katalog wtyczek (marketplace) i zainstalowaliśmy trzy wtyczki (plugin): differential-review, insecure-defaults i supply-chain-risk-auditor. Użyliśmy do tego komend Claude Code w terminalu, w czystym kontenerze, bez konta. Wszystkie trzy pokazały się jako włączone. Każdy z 85 plików umiejętności w repozytorium ma nazwę i opis, a każdy z 33 plików agentów ma nazwę. Wtyczek nie uruchomiliśmy na prawdziwym kodzie.

Sprawdzone ponownie: 12 października 2026

Źródła

github.com/trailofbits/skills