Que fait repo-recon ?
Reconnaissance sur un dépôt Git avant de lui faire confiance : secrets, dépendances vulnérables (OSV.dev), heuristiques de code malveillant, vérification des auteurs, posture de confidentialité et contenu ciblant les agents IA, le tout dans un rapport noté. Livre une compétence Claude pour une analyse vérifiée avant déploiement.
Fonctionnalités
- Détection de secrets : analyse les commits et l'historique pour trouver des clés API, mots de passe, tokens, etc.
- Dépendances vulnérables : vérifie les dépendances via OSV.dev pour identifier les CVE connus.
- Heuristiques de code malveillant : recherche des schémas suspects (obfuscation, téléchargement de payloads, tentatives d'exfiltration).
- Vérification des auteurs : évalue la crédibilité des contributeurs (activité, historique, signatures).
- Posture de confidentialité : vérifie les fichiers de configuration, les politiques de confidentialité et les pratiques de collecte de données.
- Contenu ciblant les agents IA : détecte les instructions cachées, les prompts manipulatifs ou les artefacts conçus pour influencer les agents IA.
- Rapport noté : synthèse avec un score de confiance global et des recommandations.
Plateformes supportées
- CLI (Node.js/Python)
- Compétence Claude (fichier
claude-skill.ymlinclus)
Utilisation
npx repo-recon <url-du-depot>
Ou via la compétence Claude :
"Analyse le dépôt https://github.com/utilisateur/depot avec repo-recon"
Variables d'environnement
REPO_RECON_OSV_TOKEN: jeton optionnel pour l'API OSV.dev (rate limit augmenté)
Exemple de sortie
Score de confiance : 72/100
Risques :
- 3 secrets trouvés (dont 1 actif)
- 2 dépendances vulnérables (CVE-2024-1234, CVE-2024-5678)
- 0 heuristiques de code malveillant
- 1 auteur non vérifié
- Politique de confidentialité absente
- 0 contenu ciblant les agents IA
Licence
MIT © 2024 RootCaws LLC