Skills DirectoryGitHub から厳選したオープンソースの Skills
日本語

find-security-vulnerabilities-in-codecommit 42baa7cSKILL.md · セキュリティ監査

Strix コード脆弱性の発見

Strix によるホワイトボックスのセキュリティレビュー。ソースからデータフローと認可を把握し、サンドボックスで攻撃を試してPoCを添えます。

Strix CLI と、Docker および LLM キー、または Strix クラウドへのログインが必要です。実行にはモデル利用料がかかります。

npx skills add usestrix/strix --skill find-security-vulnerabilities-in-code
権限
  • read-repo
  • write-files
  • shell
  • network
対応ツール
Claude Code, Codex, Cursor
GitHub
73.1k
提供元
公式 · Strix
状態
スキャン済み
ライセンス
Apache-2.0
カテゴリ
セキュリティ監査
リポジトリ
github.com/usestrix/strix/skills/find-security-vulnerabilities-in-code

基本ルール

報告前に各PoCが影響を示すか確認します。終了コード0は悪用を証明できなかったという意味で、安全という意味ではありません。

実行フェーズ

  1. フェーズ 01範囲を絞る

    リスクの高いサブツリーやブランチのdiffに絞り、テナントモデル、信頼境界、攻撃者が制御できる入力を伝えます。

  2. フェーズ 02Strix を実行

    ローカルのディレクトリやGitHubリポジトリに strix を実行し、--max-budget で費用を抑えます。稼働中のインスタンスがあれば対象に加えて悪用可能性を確かめます。

  3. フェーズ 03結果を読む

    penetration_test_report.md から読み始め、vulnerabilities/ の各指摘を開いてPoC、ファイル、行番号を確認します。

  4. フェーズ 04修正して再検証

    対応する修正スキルで根本原因を直し、Strix を再実行して悪用できなくなったことを確かめます。依存関係とシークレットのスキャンは別途残します。

権限の説明（SKILL.md より）

機能必要か説明
ファイル書き込み一部で必要ローカルパスは書き込み可能でサンドボックスにマウントされ、エージェントが変更し得るため、クリーンなチェックアウトで実行します。結果は strix_runs/ に出力されます。
コマンド実行一部で必要Strix CLI を実行し、エージェントと攻撃の試行は Docker のサンドボックス内で行われます。
外部通信一部で必要設定したLLMプロバイダーを呼び出し、指定したリポジトリやアプリにアクセスします。クラウドモードでは Strix のマネージド基盤を使います。

SKILL.md のフロントマター（YAML）

SKILL.md のフロントマター（YAML）commit 42baa7c
---
name: find-security-vulnerabilities-in-code
description: Find security vulnerabilities in a codebase or repository with Strix — a white-box AI security review that reads your source, reasons about the actual data flow and authorization model, then exploits what it finds in a live sandbox so every reported issue has a working proof-of-concept instead of a noisy static-analysis alert. Covers injection, XSS, SSRF, broken access control and IDOR, insecure deserialization, secrets in code, unsafe dependencies, and business-logic flaws. Use when the user asks to security-scan, security-review, or audit their code, repo, or pull request for vulnerabilities.
license: Apache-2.0
metadata:
  author: usestrix
  homepage: https://docs.strix.ai
---

関連スキル

ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。
Markdown 版 GitHub