jinbaozi/package-vuln-audit

O que package-vuln-audit faz?

package-vuln-audit é uma Skill de Agente portátil para descoberta e análise autorizada de vulnerabilidades em pacotes de software. Ela combina ferramentas estáticas/dinâmicas tradicionais, raciocínio de código assistido por IA, delegação de subagentes, evidências de validação, pontuação CVSS e divulgação progressiva.

Visão Geral

Esta skill foi projetada para ajudar agentes de IA a realizar auditorias de segurança completas em pacotes de software de forma automatizada e confiável. Ela segue um fluxo de trabalho modular que prioriza clareza, rastreabilidade e precisão.

Como Funciona

1. Autorização: A skill verifica se o agente tem permissão para auditar o pacote alvo, garantindo conformidade com políticas de segurança.
2. Varredura Estática e Dinâmica: Utiliza ferramentas como npm audit, pip-audit, safety, trivy ou similares (dependendo da linguagem e ambiente) para detectar vulnerabilidades conhecidas.
3. Raciocínio de Código Assistido por IA: O agente inspeciona o código-fonte do pacote (quando disponível) para identificar vulnerabilidades lógicas, práticas inseguras ou dependências problemáticas que as ferramentas automáticas podem perder.
4. Delegação para Subagentes: Tarefas complexas (como análise profunda de uma função específica ou revisão de patches) podem ser delegadas a subagentes especializados, aumentando a eficiência.
5. Coleta de Evidências: Cada descoberta é acompanhada de evidências claras (logs, trechos de código, saídas de ferramentas) para validação manual.
6. Pontuação CVSS: Vulnerabilidades são classificadas usando o CVSS (Common Vulnerability Scoring System), gerando pontuações de severidade (baixa, média, alta, crítica).
7. Divulgação Progressiva: Os resultados são apresentados de forma incremental – primeiro um resumo executivo, depois detalhes técnicos e, por fim, recomendações de mitigação.

Suporte a Plataformas

A skill é portátil e pode ser executada em:

• Claude Code (via arquivos de skill e instruções de sistema)
• Cursor (via regras de agente e comandos customizados)
• Codex CLI (via scripts e templates de prompt)
• Qualquer outro ambiente que suporte execução de comandos e integração com ferramentas de segurança.

Requisitos

• Acesso a um terminal ou ambiente de linha de comando.
• Ferramentas de auditoria instaladas (ex.: npm, pip, trivy, grype, safety).
• Permissões para ler o pacote alvo (geralmente um diretório de projeto).
• Conexão com a internet (para baixar bancos de dados de vulnerabilidades).

Exemplo de Uso

# Comando para iniciar a auditoria de um pacote Node.js
npm audit --json | jq '.vulnerabilities'

# Exemplo de integração com a skill (para Python)
import subprocess
result = subprocess.run(['safety', 'check', '--json'], capture_output=True, text=True)
print(result.stdout)

Personalização

• Configure variáveis de ambiente como VULN_AUDIT_SEVERITY_THRESHOLD para filtrar por severidade mínima.
• Defina VULN_AUDIT_SUBAGENTS_ENABLED=false para desativar a delegação a subagentes.
• A skill respeita o arquivo .auditignore para excluir diretórios ou arquivos específicos da análise.

Segurança e Ética

Esta skill deve ser usada apenas em pacotes autorizados (próprios ou com permissão explícita). Nunca audite software de terceiros sem consentimento. A skill não modifica nem corrige vulnerabilidades automaticamente – cabe ao desenvolvedor ou equipe de segurança revisar e aplicar as correções.

Licença

MIT