O que SkillRay faz?
SkillRay — Scanner de Segurança para Skills de IA. Analisador estático leve, offline e multi-motor para skills de agentes de IA. 5 motores (Regex + AST + Entropia + Fluxo de Dados + Prompt), 37+ regras em 9 categorias de ameaças, interface de terminal Rich, saída JSON/SARIF, skill nativa do Claude Code. Sem ML, sem chaves de API — apenas pip install skillray.
Visão Geral
O SkillRay foi projetado para ajudar desenvolvedores a identificar vulnerabilidades de segurança em skills de agentes de IA. Ele escaneia o código-fonte da skill em busca de padrões suspeitos, uso inadequado de APIs, vazamento de informações sensíveis e outras ameaças comuns. Por ser totalmente offline, garante que nenhum dado da skill seja enviado para servidores externos.
Motores de Análise
- Regex: Detecta padrões de texto suspeitos, como chaves de API hardcoded ou comandos perigosos.
- AST: Analisa a árvore sintática abstrata para identificar construções de código maliciosas.
- Entropia: Mede a aleatoriedade de strings para localizar segredos embutidos (tokens, senhas).
- Fluxo de Dados: Rastreia como os dados fluem pela skill, identificando possíveis vazamentos.
- Prompt: Examina prompts em busca de técnicas de injeção ou jailbreak.
Categorias de Ameaças
- Injeção de Prompt
- Vazamento de Dados
- Comandos Maliciosos
- Uso Indevido de API
- Armazenamento Inseguro
- Autenticação Fraca
- Manipulação de Entrada
- Configuração Incorreta
- Outras Vulnerabilidades
Instalação
pip install skillray
Uso Básico
skillray scan caminho/para/skill/
Opções
| Opção | Descrição |
|---|---|
--output | Formato de saída: json ou sarif |
--verbose | Saída detalhada |
--quiet | Apenas resultados críticos |
--rules | Listar todas as regras disponíveis |
Exemplo de Saída
{
"skill": "minha-skill",
"resultados": [
{
"regra": "PII-001",
"gravidade": "alta",
"descricao": "Possível número de cartão de crédito detectado",
"arquivo": "src/utils.py",
"linha": 42
}
]
}
Integração com Claude Code
O SkillRay é uma skill nativa do Claude Code. Para usá-lo:
- Instale o SkillRay via pip.
- No Claude Code, execute o comando de scan da skill.
- Os resultados serão exibidos diretamente no terminal.
Licença
MIT