Skills-check은(는) 무엇을 하나요?
AI 에이전트 스킬에 대해 자동화된 다계층 보안 분석을 수행하여 코드 위험 및 런타임 위협을 효율적으로 탐지합니다.
개요
이 스킬은 AI 에이전트(예: Claude Code, Cursor, Codex)의 스킬에 대한 포괄적인 보안 분석을 제공합니다. 정적 분석, 동적 분석, 의존성 검사를 결합하여 잠재적인 보안 문제를 식별합니다.
주요 기능
- 정적 코드 분석: 코드 내 악성 패턴, 하드코딩된 비밀, 취약한 함수 호출을 스캔합니다.
- 동적 행동 분석: 샌드박스 환경에서 스킬을 실행하여 런타임 동작을 모니터링합니다.
- 의존성 검사: 사용된 라이브러리 및 패키지에서 알려진 취약점을 확인합니다.
- 리스크 평가: 탐지된 위협의 심각도에 따라 점수를 매기고 상세 보고서를 제공합니다.
사용법
# 스킬 분석 실행
skills-check analyze --skill <path-to-skill>
# CI/CD 파이프라인에서 사용 (비제로 종료 코드)
skills-check analyze --skill <path-to-skill> --fail-on critical
구성
skills-check.config.json 파일에서 분석 설정을 사용자 정의할 수 있습니다:
{
"analysis": {
"static": true,
"dynamic": false,
"dependency": true
},
"severity": {
"fail": ["critical", "high"]
}
}
지원 플랫폼
- Claude Code
- Cursor
- Codex
- 기타 AI 에이전트 프레임워크
출력 예시
[INFO] 정적 분석 시작...
[WARN] 발견: 의심스러운 `eval()` 사용 (line 42)
[CRITICAL] 발견: 하드코딩된 API 키 (line 15)
[INFO] 동적 분석 건너뜀 (구성에서 비활성화됨)
[INFO] 의존성 검사 완료: 3개의 알려진 취약점 발견
리스크 점수: 8.2/10 (높음)
참고 사항
- 분석은 네트워크 액세스 없이 로컬에서 수행됩니다.
- 동적 분석을 활성화하려면 Docker 또는 유사한 컨테이너 런타임이 필요합니다.
- 보고서는 기본적으로
./reports/디렉토리에 저장됩니다.