Communitygithub.com

security-scan

Analysez votre configuration Claude Code (répertoire .claude/) pour détecter les vulnérabilités de sécurité, les erreurs de configuration et les risques d'injection à l'aide d'AgentShield. Vérifie CLAUDE.md, settings.json, les serveurs MCP, les hooks et les définitions d'agents. À utiliser lors de l'audit du répertoire .claude/ — CLAUDE.md, settings.json, serveurs MCP, hooks ou définitions d'agents.

Qu'est-ce que security-scan ?

Cette compétence vous permet d'auditer la configuration de votre projet Claude Code à la recherche de problèmes de sécurité à l'aide de l'outil AgentShield. Elle analyse les fichiers essentiels du répertoire `.claude/`, notamment CLAUDE.md, settings.json, mcp.json, les hooks et les définitions d'agents, afin de détecter les vulnérabilités telles que les secrets codés en dur, les risques d'injection d'instructions, les autorisations trop permissives, les erreurs de configuration des serveurs MCP et les risques d'exfiltration de données. La compétence est particulièrement utile après des modifications de configuration, avant des commits, lors de l'initialisation d'un nouveau projet ou pour des vérifications périodiques de sécurité. AgentShield propose plusieurs formats de sortie (terminal, JSON, Markdown, HTML), une correction automatique sécurisée, une analyse approfondie via un pipeline d'agents adversarial utilisant Opus 4.6, et une commande d'initialisation pour créer une configuration sécurisée de base. Elle peut également être intégrée dans une pipeline CI/CD via une action GitHub.

Compatible avec✓Claude Code~Codex CLI~Cursor
npx skills add https://github.com/affaan-m/ECC/tree/main/skills/security-scan
Voir l'original→Voir toutes les compétences

Demander à votre IA préférée

Ouvre une nouvelle conversation avec cette compétence d'agent déjà préchargée.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentation

Compétence d'Analyse de Sécurité

Auditez votre configuration Claude Code pour détecter les problèmes de sécurité avec AgentShield.

Quand l'Activer

  • Lors de la configuration d'un nouveau projet Claude Code
  • Après avoir modifié .claude/settings.json, CLAUDE.md ou les configurations MCP
  • Avant de valider les modifications de configuration
  • Lors de l'intégration dans un nouveau dépôt avec des configurations Claude Code existantes
  • Pour des contrôles d'hygiène de sécurité périodiques

Ce Qu'il Analyse

FichierVérifications
CLAUDE.mdSecrets codés en dur, instructions d'exécution automatique, schémas d'injection d'instructions
settings.jsonListes d'autorisation trop permissives, listes de refus manquantes, indicateurs de contournement dangereux
mcp.jsonServeurs MCP risqués, secrets d'environnement codés en dur, risques de chaîne d'approvisionnement npx
hooks/Injection de commande via interpolation, exfiltration de données, suppression silencieuse d'erreurs
agents/*.mdAccès aux outils sans restriction, surface d'injection d'instructions, spécifications de modèle manquantes

Prérequis

AgentShield doit être installé. Vérifiez et installez si nécessaire :

# Vérifier si installé
npx ecc-agentshield --version

# Installer globalement (recommandé)
npm install -g ecc-agentshield

# Ou exécuter directement via npx (pas d'installation nécessaire)
npx ecc-agentshield scan .

Utilisation

Analyse de Base

Exécutez l'analyse sur le répertoire .claude/ du projet courant :

# Analyser le projet courant
npx ecc-agentshield scan

# Analyser un chemin spécifique
npx ecc-agentshield scan --path /chemin/vers/.claude

# Analyser avec un filtre de sévérité minimum
npx ecc-agentshield scan --min-severity medium

Formats de Sortie

# Sortie terminal (par défaut) — rapport coloré avec note
npx ecc-agentshield scan

# JSON — pour intégration CI/CD
npx ecc-agentshield scan --format json

# Markdown — pour documentation
npx ecc-agentshield scan --format markdown

# HTML — rapport auto-contenu avec thème sombre
npx ecc-agentshield scan --format html > security-report.html

Correction Automatique

Appliquez automatiquement les correctifs sécurisés (seulement ceux marqués comme auto-corrigibles) :

npx ecc-agentshield scan --fix

Cela va :

  • Remplacer les secrets codés en dur par des références de variables d'environnement
  • Restreindre les permissions génériques à des alternatives ciblées
  • Ne jamais modifier les suggestions manuelles uniquement

Analyse Approfondie Opus 4.6

Exécutez le pipeline adversarial à trois agents pour une analyse plus approfondie :

# Nécessite ANTHROPIC_API_KEY
export ANTHROPIC_API_KEY=votre-clé
npx ecc-agentshield scan --opus --stream

Cela exécute :

  1. Attaquant (Red Team) — trouve des vecteurs d'attaque
  2. Défenseur (Blue Team) — recommande le renforcement
  3. Auditeur (Verdict Final) — synthétise les deux perspectives

Initialisation d'une Configuration Sécurisée

Génère une nouvelle configuration .claude/ sécurisée à partir de zéro :

npx ecc-agentshield init

Crée :

  • settings.json avec des permissions ciblées et une liste de refus
  • CLAUDE.md avec les bonnes pratiques de sécurité
  • Emplacement réservé pour mcp.json

Action GitHub

Ajoutez à votre pipeline CI :

- uses: affaan-m/agentshield@v1
  with:
    path: '.'
    min-severity: 'medium'
    fail-on-findings: true

Niveaux de Sévérité

NoteScoreSignification
A90-100Configuration sécurisée
B75-89Problèmes mineurs
C60-74Nécessite attention
D40-59Risques significatifs
F0-39Vulnérabilités critiques

Interprétation des Résultats

Résultats Critiques (corriger immédiatement)

  • Clés API ou jetons codés en dur dans les fichiers de configuration
  • Bash(*) dans la liste d'autorisation (accès shell sans restriction)
  • Injection de commande dans les hooks via l'interpolation ${file}
  • Serveurs MCP exécutant des commandes shell

Résultats Élevés (corriger avant la production)

  • Instructions d'exécution automatique dans CLAUDE.md (vecteur d'injection d'instructions)
  • Listes de refus manquantes dans les permissions
  • Agents avec accès Bash inutile

Résultats Moyens (recommandé)

  • Suppression silencieuse d'erreurs dans les hooks (2>/dev/null, || true)
  • Hooks de sécurité PreToolUse manquants
  • Installation automatique npx -y dans les configurations de serveurs MCP

Résultats Informatifs (sensibilisation)

  • Descriptions manquantes sur les serveurs MCP
  • Instructions prohibitives correctement signalées comme bonne pratique

Liens

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

accessibility

Design, implement, and audit inclusive digital products using WCAG 2.2 Level AA. Use when building or auditing UI that must meet WCAG 2.2 Level AA, or when reviewing a change for keyboard, contrast, or screen-reader support.

affaan-m/content-engine

Create platform-native content systems for X, LinkedIn, TikTok, YouTube, newsletters, and repurposed multi-platform campaigns. Use when the user wants social posts, threads, scripts, content calendars, or one source asset adapted cleanly across platforms.

affaan-m/ECC

Multi-platform content distribution across X, LinkedIn, Threads, and Bluesky. Adapts content per platform using content-engine patterns. Never posts identical content cross-platform. Use when the user wants to distribute content across social platforms.

affaan-m/fal-ai-media

Unified media generation via fal.ai MCP — image, video, and audio. Covers text-to-image (Nano Banana), text/image-to-video (Seedance, Kling, Veo 3), text-to-speech (CSM-1B), and video-to-audio (ThinkSound). Use when the user wants to generate images, videos, or audio with AI.

affaan-m/manim-video

日本語翻訳：このファイルは manim-video 用の日本語翻訳が必要です

affaan-m/remotion-video-creation

Remotion のベストプラクティス - React で動画を作成する。3D、アニメーション、音声、字幕、チャート、トランジションなどをカバーするドメイン固有の29のルール。

affaan-m/video-editing

AI-assisted video editing workflows for cutting, structuring, and augmenting real footage. Covers the full pipeline from raw capture through FFmpeg, Remotion, ElevenLabs, fal.ai, and final polish in Descript or CapCut. Use when the user wants to edit video, cut footage, create vlogs, or build video content.

agent-architecture-audit

Full-stack diagnostic for agent and LLM applications. Audits the 12-layer agent stack for wrapper regression, memory pollution, tool discipline failures, hidden repair loops, and rendering corruption. Produces severity-ranked findings with code-first fixes. Essential for developers building agent applications, autonomous loops, or any LLM-powered feature. Use when an agent or LLM feature misbehaves and the failing layer is unknown, or before shipping an agent stack.

agent-eval

Head-to-head comparison of coding agents (Claude Code, Aider, Codex, etc.) on custom tasks with pass rate, cost, time, and consistency metrics. Use when choosing between coding agents, or when a change to an agent setup needs measured pass rate, cost, and time rather than an impression.

agent-harness-construction

Design and optimize AI agent action spaces, tool definitions, and observation formatting for higher completion rates. Use when defining or revising an agent

agentic-engineering

Operate as an agentic engineer using eval-first execution, decomposition, and cost-aware model routing. Use when planning or executing engineering work that agents will carry out end to end.

agentic-os

Build persistent multi-agent operating systems on Claude Code. Covers kernel architecture, specialist agents, slash commands, file-based memory, scheduled automation, and state management without external databases. Use when building a persistent multi-agent system on Claude Code with its own memory, commands, and scheduling.

agent-introspection-debugging

Structured self-debugging workflow for AI agent failures using capture, diagnosis, contained recovery, and introspection reports. Use when an agent run fails and you need a reproducible diagnosis instead of a retry.

agent-payment-x402

Add x402 payment execution to AI agents with per-task budgets, spending controls, and non-custodial wallets. Supports Base through agentwallet-sdk and X Layer through OKX Payments / OKX Agent Payments Protocol. Use when an agent must pay for something itself and needs per-task budgets, spending controls, and a non-custodial wallet.

agent-self-evaluation

Use after completing any non-trivial task. The agent self-rates its output on 5 axes — accuracy, completeness, clarity, actionability, conciseness — with concrete evidence per criterion. Produces a structured 1-5 scorecard with specific improvement suggestions.

agent-sort

Build an evidence-backed ECC install plan for a specific repo by sorting skills, commands, rules, hooks, and extras into DAILY vs LIBRARY buckets using parallel repo-aware review passes. Use when ECC should be trimmed to what a project actually needs instead of loading the full bundle.

ai-first-engineering

Engineering operating model for teams where AI agents generate a large share of implementation output. Use when setting team process, review gates, or ownership rules for a codebase largely written by agents.

ai-regression-testing

Regression testing strategies for AI-assisted development. Sandbox-mode API testing without database dependencies, automated bug-check workflows, and patterns to catch AI blind spots where the same model writes and reviews code. Use when adding regression coverage to AI-assisted code, or when the same model both wrote and reviewed a change.

android-clean-architecture

Clean Architecture patterns for Android and Kotlin Multiplatform projects — module structure, dependency rules, UseCases, Repositories, and data layer patterns. Use when structuring modules, layers, or data flow in an Android or KMP project.

angular-developer

Generates Angular code and provides architectural guidance. Trigger when creating projects, components, or services, or for best practices on reactivity (signals, linkedSignal, resource), forms, dependency injection, routing, SSR, accessibility (ARIA), animations, styling (component styles, Tailwind CSS), testing, or CLI tooling.

Skills associés

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community