Ein Auto-Merge-Workflow bei pull_request_target, der prüft, ob: github.actor == 'dependabot[bot]' den Pull Request eines Angreifers mergen kann, weil github.actor der Auslöser des letzten Events ist, nicht die Person, die den Pull Request geöffnet hat. Ein Registry-Token, das in dependabot.yml oder renovate.json eingefügt wurde, kann von jedem mit Zugriff auf das Repository gelesen werden. Eine dependabot.yml mit package-ecosystem: "yarn" wird abgelehnt, und die erwarteten Updates kommen nie an. Dieser Skill findet diese und die weiteren unten aufgeführten Fehler bei Dependency-Bots und zeigt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scan durch auf .github/dependabot.yml, Renovate-Konfigurationsdateien (renovate.json, renovate.jsonc, renovate.json5, .renovaterc-Dateien, auch unter .github/ und .gitlab/), den renovate-Schlüssel von package.json sowie die Workflows in .github/workflows/, die Dependabot- oder Renovate-Pull-Requests genehmigen oder mergen (andere Workflows werden übersprungen). Er liest JSON mit Kommentaren und JSON5 so, wie Renovate es tut, behandelt ${{secrets.NAME}} und {{ secrets.NAME }} als Secrets, die außerhalb der Datei aufbewahrt werden, kennt die standardmäßige dreitägige Cooldown-Zeit von Dependabot und prüft, ob jedes Dependabot-Verzeichnis im Repository existiert. Er führt niemals die Bots oder einen Workflow aus und verwendet niemals das Netzwerk. Er gibt BLOCK, REVIEW oder NOT FLAGGED zurück, mit Datei, Zeile, Begründung und einem sichereren Ansatz. Secrets werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor dem Deployment beheben)

• D01: Registry-Passwörter, Tokens und Schlüssel, die in der Konfiguration stehen (Dependabot-Registries, Renovate hostRules und Auth-Header, npmToken, _authToken in npmrc, ein Passwort innerhalb einer Registry-URL)
• D02: Registries, die über reines HTTP erreicht werden, oder Renovate insecureRegistry: true
• D03: Konfiguration, die der Bot nicht verwenden kann: ungültiges Renovate-JSON, Tab-Einrückung, fehlendes version: 2, updates, package-ecosystem, directory oder schedule.interval, falsche Ecosystem- oder Interval-Namen, nicht definierte registries oder groups, dependabot.yml außerhalb von .github/
• D04: Workflows bei pull_request_target oder workflow_run, die Bot-Pull-Requests anhand von github.actor oder dem Event-Sender genehmigen oder mergen

REVIEW (vor dem Release prüfen)

• D11: Automerge ohne Wartezeit für das Release-Alter (Renovate minimumReleaseAge nicht gesetzt, oder Dependabot-Cooldown von 0 Tagen mit einem Auto-Merge-Workflow)
• D12: jeder Update-Typ wird einzeln gemergt, einschließlich Major-Versionen
• D13: Major-Updates werden für jede Abhängigkeit ignoriert
• D14: Updates abgeschaltet (open-pull-requests-limit: 0, ignore "*" für alles, Renovate enabled: false)
• D15: Renovate-Sicherheitswarnungen abgeschaltet
• D16: entfernte Renovate-Presets, die nicht auf einen Tag festgelegt sind
• D17: Dependabot insecure-external-code-execution: allow
• D18: Merges, die Prüfungen überspringen (gh pr merge ohne --auto oder mit --admin, direkte Merge-API-Aufrufe, Renovate ignoreTests mit automerge)
• D19: Dependabot-Verzeichnisse, die nicht existieren oder kein Manifest für ihr Ecosystem enthalten

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelwerk mit der Begründung, dem sichereren Ansatz und der offiziellen Quelle für jede Regel
• Ein riskantes und ein sicheres Beispiel (eine Webanwendung mit Dependabot und einem Auto-Merge-Workflow sowie ein Dienst mit Renovate) und der echte Bericht, den der Scanner für das riskante Beispiel erstellt

Grenzen

Er liest jede Datei so, wie sie geschrieben ist. Einstellungen, die außerhalb des Repositorys vorgenommen wurden (Bot-Einstellungen in der GitHub- oder Mend-Oberfläche, Dependabot-Secrets, Branch-Protection, die Auto-Merge-Einstellung von GitHub), werden nicht erfasst, und entfernte Presets werden benannt, aber nicht abgerufen, sodass ihr Inhalt nicht geprüft wird. Workflows werden nur auf die oben genannten Bot-Merge-Muster geprüft; allgemeine Workflow-Sicherheit wie Script-Injection oder Token-Berechtigungen wird nicht abgedeckt. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 20 Dateien: SKILL.md, der Scanner in scripts/ (6 Python-Dateien), references/rules.md (jede Regel mit Begründung und sicherem Ansatz) und examples/ (11 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agents (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.