razin は何をしますか？
静的解析スキャナー。LLMエージェントスキルのSKILL.mdに対して決定論的なセキュリティ検出を行います。
概要
Razinは、LLMエージェントスキル（Claude Code、Cursor、Codexなど）のSKILL.mdファイルを解析し、決定論的なセキュリティ所見を提供する静的解析ツールです。スキルのメタデータ、説明、指示、環境変数、権限設定などから、既知の脆弱性パターンや不適切な設定を機械的に検出します。
特徴
- 決定論的解析: ヒューリスティックや確率的推論に頼らず、明確なルールに基づいてセキュリティ問題を特定します。
- スキル特化型: 汎用的なSASTツールとは異なり、SKILL.mdの構造とLLMエージェントのコンテキストに最適化されています。
- 低誤検出率: ルールは実世界のエージェントスキルで確認されたパターンに基づいて設計されています。
- CI/CD統合: コマンドラインから簡単に実行でき、GitHub ActionsやGitLab CIなどのパイプラインに組み込めます。
使用方法
# 解析対象のSKILL.mdを指定
razin scan path/to/SKILL.md
# ディレクトリ内の全SKILL.mdを再帰的に解析
razin scan --recursive ./skills
# JSON形式で出力
razin scan --format json path/to/SKILL.md
検出されるセキュリティ所見の例
- 不適切な権限: スキルが必要以上に高い権限（例：ルートアクセス、全ファイル読み取り）を要求している。
- 環境変数の漏洩: スキルの説明や指示にシークレットやAPIキーがハードコードされている。
- プロンプトインジェクションの脆弱性: ユーザー入力がエージェントのプロンプトに直接組み込まれるパターン。
- 未検証の外部リソース読み込み: URLやファイルパスがバリデーションなしで使用されている。
対応プラットフォーム
- Claude Code
- Cursor
- Codex
- その他SKILL.md形式をサポートするLLMエージェント
関連リソース
ライセンス
MIT