exec(response.output_text), ein NEXT_PUBLIC_OPENAI_API_KEY in .env.local oder f"SELECT ... WHERE category = '{category}'" mit einer vom Modell gewählten Kategorie: Jeder dieser Fälle macht aus einer einzigen Prompt-Injection oder einem Blick in dein JavaScript-Bundle einen echten Vorfall. Dieser Skill findet solche und sieben weitere Fehler in Apps, die LLMs aufrufen, bevor du sie veröffentlichst, und erklärt, wie du sie behebst.

Dein Agent führt einen Scanner für deine Python-, JavaScript- und TypeScript-Dateien aus (einschließlich React-, Vue- und Svelte-Komponenten), die OpenAI, Anthropic, Google GenAI, Mistral, Groq, Ollama, LangChain, LlamaIndex, das Vercel AI SDK oder das OpenAI Agents SDK verwenden, sowie für deine .env-Dateien. Er überspringt Kommentare und feste Zeichenfolgen, verfolgt Modellausgaben durch Variablen, Schleifen, .map()-Callbacks, React-State und Hilfsfunktionen und erkennt die üblichen Schutzmaßnahmen (Abfrageparameter, DOMPurify, eine Liste erlaubter Personas, needs_approval, eine schreibgeschützte Datenbankverbindung). Er führt niemals deinen Code aus und ruft kein Modell auf. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und sichererem Vorgehen. Geheimnisse werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Weitergabe beheben)

• L01: im Code hinterlegte LLM-API-Schlüssel (Schlüsselformate von OpenAI, Anthropic, Groq, xAI, Hugging Face und anderen Anbietern oder an einen Client übergebene Literale)

• L02: an eval, exec, subprocess, child_process oder new Function übergebene Modellausgaben

• L03: per f-Strings, + oder Template-Literalen in SQL-Text eingefügte Modellausgaben

• L04: an den Browser gesendete LLM-Schlüssel (Schlüsselvariablen mit NEXT_PUBLIC_, VITE_ und EXPO_PUBLIC_, dangerouslyAllowBrowser)

REVIEW (vor der Veröffentlichung prüfen)

• L11: Eingaben aus Anfragen im System- oder Entwicklerprompt

• L12: Modellaufrufe ohne Ausgabetokenlimit (Anthropic-Aufrufe haben immer eines und werden nicht markiert)

• L13: vollständige Prompts, Chatnachrichten oder Modellantworten in Protokollen

• L14: als rohes HTML gerenderte Modellausgaben (dangerouslySetInnerHTML, innerHTML, v-html, unsafe_allow_html)

• L15: Agentenwerkzeuge, die ohne Freigabe Shell-Befehle oder Code ausführen oder Dateien schreiben

• L16: unverändert ausgeführtes, vom Modell erzeugtes SQL sowie Text-zu-SQL-Agenten ohne schreibgeschützte Verbindung

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein riskantes und ein sicheres Beispielprojekt sowie der tatsächliche Scanner-Bericht zum riskanten Beispiel

Grenzen

Jede Datei wird einzeln gelesen: Modellausgaben, die an Code in einer anderen Datei übergeben werden, andernorts gespeicherte Promptvorlagen, abgerufene Dokumente, anbieterseitige Einstellungen und die Sandbox deiner Werkzeuge werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 21 Dateien: SKILL.md, der Scanner in scripts/ (6 Python-Dateien), references/rules.md (alle Regeln mit Begründung und sichererem Vorgehen) und examples/ (12 Beispieldateien plus report.md, die tatsächliche Scanner-Ausgabe zum riskanten Beispiel).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, keine Datenübertragung.