Skill portátil de segurança para Claude Code, Roo Code, Antigravity e ambientes compatíveis. Detecta ataques de supply chain, dependências maliciosas, prompt injection, código ofuscado e muito mais.
概览
Skill portátil de segurança para Claude Code, Roo Code, Antigravity e ambientes compatíveis. Detecta ataques de supply chain, dependências maliciosas, prompt injection, código ofuscado e muito mais. - 🐍 Python (requirements.txt, pyproject.toml, Pipfile, setup.py) - 📦 Node.js / npm / yarn / pnpm (package.json, lockfiles, scripts) - 🦫 Go (go.mod) - 🦀 Rust (Cargo.toml) - 💎 Ruby (Gemfile) - 🐳 Docker / docker-compose - ⚙️ GitHub Actions, GitLab CI, Jenkins, CircleCI, Travis CI, Azure Pipelines O arquivo SKILL.md é carregado automaticamente pelo agente quando detecta uma tarefa de auditoria de segurança. O scanner não tem dependências externas — usa apenas stdlib Python 3.8+. 1. Carregar o skill automaticamente 2. Executar o scanner.py no projeto 3. Complementar com análise manual dos achados críticos 4.
README
以下为原文 README 节选，完整内容请查看原文。
🛡️ Supply Chain Sentinel
Skill portátil de segurança para Claude Code, Roo Code, Antigravity e ambientes compatíveis.
Detecta ataques de supply chain, dependências maliciosas, prompt injection, código ofuscado e muito mais.
O que ele detecta
| Categoria | Exemplos |
|---|---|
| Supply chain | Typosquatting no PyPI/npm, dependency confusion, URL installs, lifecycle scripts maliciosos |
| Código malicioso | eval(base64...), reverse shells, exfiltração de dados, coleta de credenciais |
| Ofuscação | Blobs base64, strings via chr(), shellcode hex, Trojan Source (CVE-2021-42574) |
| Prompt injection | ignore previous instructions, role overrides, templates de LLM injetados |
| CI/CD | GitHub Actions sem SHA fixo, script injection via github.event, secrets em logs |
| Docker | curl | bash, :latest em imagens base, secrets como ENV |
| Integridade | Lockfiles ausentes (Pipfile.lock, package-lock.json), go.mod replace |
Ecossistemas suportados
- 🐍 Python (
requirements.txt,pyproject.toml,Pipfile,setup.py) - 📦 Node.js / npm / yarn / pnpm (
package.json, lockfiles, scripts) - 🦫 Go (
go.mod) - 🦀 Rust (
Cargo.toml) - 💎 Ruby (
Gemfile) - 🐳 Docker / docker-compose
- ⚙️ GitHub Actions, GitLab CI, Jenkins, CircleCI, Travis CI, Azure Pipelines
Instalação
Opção 1 — Como skill de Claude Code / Roo Code / Antigravity
# Clone ou copie a pasta supply-chain-sentinel para o diretório de skills do seu agente
# Claude Code (padrão):
cp -r supply-chain-sentinel ~/.claude/skills/
# Roo Code:
cp -r supply-chain-sentinel ~/.roo/skills/
# Ou use o arquivo .skill empacotado (se disponível):
claude skill install supply-chain-sentinel.skill
O arquivo SKILL.md é carregado automaticamente pelo agente quando detecta uma tarefa de auditoria de segurança.
Opção 2 — Uso direto do scanner (sem agente)
O scanner não tem dependências externas — usa apenas stdlib Python 3.8+.
# Copie o script
cp supply-chain-sentinel/scripts/scanner.py /usr/local/bin/sentinel
chmod +x /usr/local/bin/sentinel
# Execute
python3 sentinel --path /caminho/do/projeto --output report.json
Opção 3 — Usar de qualquer lugar via /tmp
# Cole o script em /tmp e execute imediatamente
python3 /tmp/sentinel_scanner.py --path . --output /tmp/report.json
Uso
Com Claude Code (recomendado)
Simplesmente diga ao Claude:
Faça uma auditoria de segurança do meu projeto em /home/user/meu-projeto
Scaneie as dependências do projeto por ataques de supply chain
推荐工具
换一个关键词，或者移除筛选条件。
安装
npx skillfish add aajj68/supply-chain-sentinel