package-vuln-audit은(는) 무엇을 하나요?
package-vuln-audit은 승인된 소프트웨어 패키지의 취약점을 발견하고 분석하기 위한 휴대용 에이전트 스킬입니다. 전통적인 정적/동적 도구, AI 지원 소스 추론, 서브에이전트 위임, 검증 증거, CVSS 점수 매기기, 점진적 공개를 결합합니다.
주요 기능
- 취약점 발견:
npm audit,yarn audit,snyk test등과 같은 기존 도구를 사용하여 알려진 취약점을 스캔합니다. - AI 소스 추론: 취약한 패키지의 소스 코드를 분석하여 알려지지 않은 취약점이나 변종을 식별합니다.
- 서브에이전트 위임: 복잡한 분석 작업을 전문 서브에이전트에 위임하여 병렬 처리를 수행합니다.
- 검증 증거: 각 취약점에 대해 재현 가능한 증거를 제공하여 확인을 용이하게 합니다.
- CVSS 점수 매기기: 발견된 각 취약점에 CVSS(Common Vulnerability Scoring System) 점수를 할당합니다.
- 점진적 공개: 요약부터 시작하여 세부 정보까지 단계적으로 결과를 표시합니다.
지원 플랫폼
- Claude Code
- Cursor
- Codex
- 기타 AI 에이전트
환경 요구 사항
- Node.js 18+
- npm 또는 yarn
- 선택 사항: Snyk CLI (
npm install -g snyk)
사용법
# 패키지 스캔
package-vuln-audit scan <package-name>
# 특정 버전 스캔
package-vuln-audit scan <package-name>@<version>
# 상세 출력
package-vuln-audit scan <package-name> --verbose
구성
package-vuln-audit.config.json 파일에 구성을 지정할 수 있습니다:
{
"tools": {
"npmAudit": true,
"yarnAudit": true,
"snyk": false
},
"aiAnalysis": {
"enabled": true,
"depth": "basic"
},
"scoring": {
"cvssVersion": "3.1"
},
"output": {
"format": "markdown",
"progressiveDisclosure": true
}
}
출력 예시
요약
| 패키지 | 버전 | 취약점 | 최대 CVSS |
|---|---|---|---|
| lodash | 4.17.20 | 3 | 7.4 |
세부 정보
취약점 1: Prototype Pollution in lodash
- CVSS 점수: 7.4 (High)
- 설명: lodash의
defaultsDeep함수에서 프로토타입 오염 취약점이 발견되었습니다. - 검증 증거: 재현 스크립트
- 권장 조치: lodash를 버전 4.17.21 이상으로 업데이트하세요.
라이선스
MIT