Agentic Code Security Audit ist eine produktionsreife Sicherheits-Audit-Fähigkeit plus zwei lauffähige Python-Tools, die dein KI-Agent verwendet, um reale Sicherheitslücken in LLM- und Agenten-Codebasen zu finden.

WAS SIE BEKOMMEN

- SKILL.md: eine siebenphasige Audit-Methodik, die OWASP Top 10 abdeckt (Injection, Auth, XSS, SSRF, unsichere Gestaltung, Kryptografie, Logging, Deserialisierung), die OWASP LLM01-LLM10-Agentenrisiken (Prompt-Injection, Offenlegung sensibler Informationen, Tool-Hijacking, übermäßige Agentenschaft), Privilege Escalation, Lieferkette, Schweregradbewertung, Fundstellen-Vorlagen und SOC 2-Evidenz-Tabellen.

- agentic_audit_tool.py: Ein statischer Scanner, der jedes Repo durchläuft und Injection, Auth-Bypass, harte Geheimnisse, Geheimnisse in Logs, unbeschränkte Schleifen und Prompt-Injection-Sinks über 7 Sprachen kennzeichnet, Datein:Zeile-Funde mit Schweregrad, CWE-Referenz und Behebung ausgibt.

- taint_tool.py: Ein Source-to-Sink-Datenfluss-Analyzer. Er verfolgt untrusted input (Request-Args, Environment, Benutzereingaben, Datei/DB-Lesungen) während es durch Variablen und Funktionsaufrufe fließt, bis es eine gefährliche Sink erreicht (os.system, eval, exec, SQL, shell=True, pickle, Dateischreibzugriff) und berichtet die vollständige Variablenkette. Dies fängt reale Injection- und RCE-Pfade ein, die ein Regex-Scan verpasst.

WARUM ES WICHTIG IST

KI-Agenten, die Tools aufrufen, Code ausführen oder LLM-Ausgaben verketten, eröffnen eine neue Angriffsfläche. Diese Fähigkeit gibt deinem Agenten eine wiederholbare, evidenzbasierte Methode, diese Oberfläche zu auditieren, mit Befunden, die du direkt in eine Sicherheitsüberprüfung oder SOC-2-Bericht übernehmen kannst.

WIE MAN ES VERWENDET

Gib die Fähigkeit einem Coding-Agenten (Claude Code, Cursor oder jeden Agenten, der SKILL.md liest), zeige auf ein Repository, und es führt das Audit durch. Oder führe die Tools direkt von der CLI aus. Funktioniert offline, keine API-Keys, keine externen Aufrufe.