Communitygithub.com

solana-auditor

Compétence de workflow d'audit de sécurité pratique pour programmes Solana/Anchor, intégrée au Solana AI Kit (statique + manuel + dynamique + rapport). MIT.

Qu'est-ce que solana-auditor ?

Cette compétence fournit un workflow complet d'audit de sécurité pour les programmes Solana et Anchor. Elle guide l'utilisateur à travers les cinq phases clés : cadrage, analyse statique, analyse manuelle, analyse dynamique et génération de rapport. La compétence intègre des outils comme cargo-audit, clippy, cargo-deny et cargo-geiger pour l'analyse statique, ainsi que litesvm et des fuzzers (trident, honggfuzz) pour l'analyse dynamique. Elle produit des preuves de concept (PoC) exécutables et un rapport de vulnérabilités classé par sévérité (Critical, High, Medium, Low, Info). La compétence délègue les correctifs et modifications de code à la compétence solana-dev, et les preuves formelles d'invariants à QEDGen. Elle est conçue pour être utilisée avec des agents spécialisés (solana-auditor pour l'audit, audit-report-writer pour la rédaction du rapport) et comprend des commandes dédiées. Les références méthodologiques et les templates sont fournis pour garantir une approche cohérente et reproductible.

Compatible avec~Claude Code~Codex CLI~Cursor
npx skills add alexbanda08/solana-auditor-skill
Voir l'original→Voir toutes les compétences

Demander à votre IA préférée

Ouvre une nouvelle conversation avec cette compétence d'agent déjà préchargée.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentation

Que fait solana-auditor ?

Un workflow pratique d'audit de programmes Solana : Cadrage -> Statique -> Manuel -> Dynamique -> Rapport, avec un PoC exécutable et un rapport de vulnérabilités classé par sévérité.

Périmètre et compléments

Cette compétence possède le workflow d'audit, l'orchestration des outils, le PoC et la génération de rapport. Elle complète, sans les dupliquer, les autres compétences de sécurité du Solana AI Kit :

  • Vérification formelle (QEDGen / solana-skills : preuves Kani/Lean) -> lorsqu'un résultat nécessite une preuve d'invariant vérifiée par machine, pointer vers QEDGen ; ne pas réimplémenter de preuves ici.
  • Conseils de développement sécurisé (Trail of Bits / ghostsecurity) -> conseils généraux ; cette compétence reste opérationnelle (quoi exécuter, comment prouver un bug).
  • Correctifs / modifications de programme -> déléguer à la compétence solana-dev via references/delegation.md.

Ordre de priorité des sources (lire avant d'agir)

  1. Preuve par résultat. Chaque problème signalé nécessite un emplacement concret, une reproduction (PoC ou trace exacte), une déclaration d'impact et une sévérité. Distinguer confirmé de suspecté.
  2. Ne jamais affirmer qu'un programme est « sûr » ou « sécurisé ». Un audit réduit les risques sur un périmètre et une période définis ; il ne certifie pas la sécurité. Indiquer le périmètre et les limites.
  3. Utiliser l'échelle de sévérité fixe (Critical / High / Medium / Low / Info) de references/report-template.md. Ne pas inventer de sévérités ad-hoc.
  4. Déléguer. Les correctifs et modifications de programme -> solana-dev. Les preuves formelles d'invariants -> QEDGen. Cette compétence trouve, prouve et rapporte ; elle ne corrige pas.
  5. Un seul fichier par tâche. Charger exactement le fichier indiqué par la table de routage ; ne pas charger l'ensemble des références.

Table de routage des tâches

L'utilisateur demande à propos deCharger ce fichier
processus d'audit / cycle de vie / par où commencerreferences/methodology.md
classes de vulnérabilités / taxonomie / quoi chercherreferences/vuln-classes.md
outils statiques (cargo-audit / clippy / deny / geiger)references/static-analysis.md
fuzzing / litesvm / dynamique / PoCreferences/dynamic-analysis.md
contraintes Anchor / vérifications de comptesreferences/anchor-checks.md
sévérité / résultats / rapportreferences/report-template.md
versions des outilsreferences/sdk-versions.md
correctifs / modifications de programme / preuves formellesreferences/delegation.md

Divulgation progressive

  • references/methodology.md - le cycle de vie en 5 phases, cadrage, timebox, livrables.
  • references/vuln-classes.md - taxonomie des vulnérabilités Solana/Anchor : quoi / pourquoi / comment détecter / pointer vers le correctif.
  • references/static-analysis.md - exécution et tri des résultats de cargo-audit, clippy, cargo-deny, cargo-geiger.
  • references/dynamic-analysis.md - PoC litesvm, fuzzing (trident / honggfuzz), tests d'invariants.
  • references/anchor-checks.md - contraintes de comptes Anchor, #[account(...)], has_one, seeds/bump.
  • references/report-template.md - échelle de sévérité + structure du rapport de résultats.
  • references/sdk-versions.md - versions d'outils figées (dernière vérification 2026-06).
  • references/delegation.md - transfert vers solana-dev (correctifs) et QEDGen (preuves).

Templates dans templates/ : audit-checklist.md, litesvm-harness.rs, fuzz-target.rs, ci-audit.yml, report.md.

Agents

AgentUtiliser quand
agents/solana-auditor.mdPiloter le cycle d'audit pratique : cadrage, statique, manuel, dynamique, PoC, résultats bruts (opus).
agents/audit-report-writer.mdTransformer les résultats bruts en rapport livrable classé par sévérité (sonnet).

Commandes

CommandeAction
commands/audit-program.mdExécuter l'audit complet en 5 phases (cadrage, statique, manuel, dynamique, rapport) sur un chemin de programme.
commands/static-scan.mdExécuter cargo-audit + clippy + cargo-deny + cargo-geiger et trier les résultats.
commands/write-report.mdAssembler les résultats dans le rapport classé par sévérité.

Skills associés

steipete/sag

ElevenLabs text-to-speech with mac-style say UX.

community

steipete/oracle

Oracle CLI second-model review/debug/refactor/design with selected files, dry-run token checks, API or browser engine.

community

steipete/peekaboo

Capture and automate macOS UI with the Peekaboo CLI.

community

mattpocock/design-an-interface

Generate multiple radically different interface designs for a module using parallel sub-agents. Use when user wants to design an API, explore interface options, compare module shapes, or mentions "design it twice".

community

mattpocock/prototype

Build a throwaway prototype to flesh out a design — a runnable terminal app for state/business-logic questions, or several radically different UI variations toggleable from one route.

community

mattpocock/grill-me

Interview the user relentlessly about a plan or design until reaching shared understanding, resolving each branch of the decision tree. Use when user wants to stress-test a plan, get grilled on their design, or mentions "grill me".

community