security-scan

Compétence d'Analyse de Sécurité

Auditez votre configuration Claude Code pour détecter les problèmes de sécurité à l'aide d'AgentShield.

Quand l'Activer

• Lors de la configuration d'un nouveau projet Claude Code
• Après avoir modifié .claude/settings.json, CLAUDE.md ou les configurations MCP
• Avant de valider des modifications de configuration
• Lors de l'intégration à un nouveau référentiel avec des configurations Claude Code existantes
• Contrôles d'hygiène de sécurité périodiques

Ce Qu'elle Analyse

Fichier	Vérifications
CLAUDE.md	Secrets codés en dur, instructions d'exécution automatique, modèles d'injection de prompt
settings.json	Listes d'autorisation trop permissives, listes de refus manquantes, indicateurs de contournement dangereux
mcp.json	Serveurs MCP risqués, secrets d'environnement codés en dur, risques de chaîne d'approvisionnement npx
hooks/	Injection de commandes via interpolation, exfiltration de données, suppression silencieuse d'erreurs
agents/*.md	Accès aux outils sans restriction, surface d'injection de prompt, spécifications de modèle manquantes

Prérequis

AgentShield doit être installé. Vérifiez et installez si nécessaire :

# Vérifier si installé
npx ecc-agentshield --version

# Installer globalement (recommandé)
npm install -g ecc-agentshield

# Ou exécuter directement via npx (aucune installation requise)
npx ecc-agentshield scan .

Utilisation

Analyse de Base

Exécutez l'analyse sur le répertoire .claude/ du projet actuel :

# Analyser le projet actuel
npx ecc-agentshield scan

# Analyser un chemin spécifique
npx ecc-agentshield scan --path /chemin/vers/.claude

# Analyser avec un filtre de sévérité minimum
npx ecc-agentshield scan --min-severity medium

Formats de Sortie

# Sortie terminal (par défaut) — rapport coloré avec note
npx ecc-agentshield scan

# JSON — pour l'intégration CI/CD
npx ecc-agentshield scan --format json

# Markdown — pour la documentation
npx ecc-agentshield scan --format markdown

# HTML — rapport autonome en thème sombre
npx ecc-agentshield scan --format html > security-report.html

Correction Automatique

Appliquez des correctifs sûrs automatiquement (seulement les correctifs marqués comme auto-réparables) :

npx ecc-agentshield scan --fix

Cela va :

• Remplacer les secrets codés en dur par des références de variables d'environnement
• Restreindre les permissions génériques à des alternatives plus ciblées
• Ne jamais modifier les suggestions manuelles uniquement

Analyse Approfondie Opus 4.6

Exécutez le pipeline adversarial à trois agents pour une analyse plus approfondie :

# Nécessite ANTHROPIC_API_KEY
export ANTHROPIC_API_KEY=votre-clé
npx ecc-agentshield scan --opus --stream

Ceci exécute :

1. Attaquant (Red Team) — trouve les vecteurs d'attaque
2. Défenseur (Blue Team) — recommande le durcissement
3. Auditeur (Verdict Final) — synthétise les deux perspectives

Initialiser une Configuration Sécurisée

Générez une nouvelle configuration .claude/ sécurisée à partir de zéro :

npx ecc-agentshield init

Crée :

• settings.json avec des permissions restreintes et une liste de refus
• CLAUDE.md avec les meilleures pratiques de sécurité
• mcp.json comme espace réservé

Action GitHub

Ajoutez à votre pipeline CI :

- uses: affaan-m/agentshield@v1
  with:
    path: '.'
    min-severity: 'medium'
    fail-on-findings: true

Niveaux de Sévérité

Note	Score	Signification
A	90-100	Configuration sécurisée
B	75-89	Problèmes mineurs
C	60-74	Nécessite attention
D	40-59	Risques significatifs
F	0-39	Vulnérabilités critiques

Interprétation des Résultats

Résultats Critiques (corriger immédiatement)

• Clés API ou jetons codés en dur dans les fichiers de configuration
• Bash(*) dans la liste d'autorisation (accès shell sans restriction)
• Injection de commandes dans les hooks via l'interpolation ${file}
• Serveurs MCP exécutant des commandes shell

Résultats Élevés (corriger avant la production)

• Instructions d'exécution automatique dans CLAUDE.md (vecteur d'injection de prompt)
• Listes de refus manquantes dans les permissions
• Agents avec accès Bash inutile

Résultats Moyens (recommandé)

• Suppression silencieuse d'erreurs dans les hooks (2>/dev/null, || true)
• Hooks de sécurité PreToolUse manquants
• Installation automatique npx -y dans les configurations de serveur MCP

Résultats d'Information (sensibilisation)

• Descriptions manquantes sur les serveurs MCP
• Instructions prohibitives correctement signalées comme bonne pratique

Liens

• GitHub : github.com/affaan-m/agentshield
• npm : npmjs.com/package/ecc-agentshield