Was macht agent-audit?
Auditieren von KI-Coding-Agenten und Projektkonfigurationen auf Sicherheitslücken mithilfe von statischer Analyse, benutzerdefinierten Regeln und LLM-gestützter Verifizierung.
Übersicht
agent-audit ist ein Tool zur Durchführung von Sicherheitsaudits für KI-Coding-Agenten. Es unterstützt Entwickler dabei, Schwachstellen in automatisch generiertem Code, Projektkonfigurationen und den zugrunde liegenden Agenten-Setups zu identifizieren.
Hauptfunktionen
- Statische Analyse: Scannt Code und Konfigurationsdateien auf bekannte Sicherheitsmuster und Anomalien.
- Benutzerdefinierte Regeln: Ermöglicht die Definition eigener Prüfregeln, die auf die spezifischen Anforderungen des Projekts zugeschnitten sind.
- LLM-gestützte Verifizierung: Nutzt Large Language Models zur logischen Überprüfung und Erkennung subtiler Sicherheitsprobleme, die über einfache Mustererkennung hinausgehen.
Unterstützte Plattformen
- Claude Code
- Cursor
- Codex
- Weitere KI-Coding-Assistenten können durch Erweiterung integriert werden.
Installation
npm install -g agent-audit
# oder mit yarn
yarn global add agent-audit
Verwendung
agent-audit scan --path ./projektverzeichnis
Optionen
| Option | Beschreibung |
|---|---|
--path | Pfad zum zu scannenden Verzeichnis |
--rules | Pfad zu benutzerdefinierten Regeln (optional) |
--llm | LLM-Modell für Verifizierung (optional, Standard: gpt-4) |
--output | Ausgabeformat: json, html oder text (Standard: json) |
Konfiguration
Erstelle eine Datei audit.config.js im Projektstammverzeichnis:
module.exports = {
rules: [
{
name: 'unsichere-shell-verwendung',
pattern: /exec\(|spawn\(/g,
severity: 'hoch',
},
],
ignorePaths: ['node_modules', 'dist'],
llmModel: 'claude-3-opus-20240229',
};
Beispielausgabe
{
"vulnerabilities": [
{
"rule": "unsichere-shell-verwendung",
"file": "src/commands/run.js",
"line": 42,
"severity": "hoch",
"description": "Verwendung von exec() ohne ordnungsgemäße Eingabevalidierung."
}
],
"summary": {
"total": 1,
"high": 1,
"medium": 0,
"low": 0
}
}
Lizenz
MIT