Un remote de tienda que ejecuta coins.Value -= price con el precio que envió el cliente permite que cualquier exploiter compre una espada por -1000 monedas y se vaya más rico, y cualquier jugador que descompile un ModuleScript bajo ReplicatedStorage puede leer el webhook de Discord que contenga. Esta skill encuentra esos y los demás errores de Roblox que se indican abajo antes de que publiques, y te dice cómo corregir cada uno.

Tu agente ejecuta un escáner sobre tus archivos .luau y .lua y tus archivos de proyecto de Rojo (default.project.json y otros archivos *.project.json / .jsonc). Lee el archivo de proyecto para saber dónde acaba cada carpeta dentro del juego, de modo que sabe qué LocalScripts y ModuleScripts reciben los jugadores y qué código se queda en el servidor; sin archivo de proyecto usa las carpetas habituales de Rojo src/server, src/client y src/shared y los nombres .server.luau / .client.luau. Entiende las cadenas de Luau, las cadenas interpoladas, las expresiones if-then-else y las anotaciones de tipo, sigue los argumentos del cliente a través de variables locales en OnServerEvent, OnServerInvoke, los métodos de cliente de Knit y los manejadores de Comm, trata un precio que busca el servidor (ShopItems[itemName].Price) como un valor del servidor y omite los paquetes instalados. Nunca ejecuta tu código ni contacta con Roblox. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura, y la guía de reglas enlaza la página oficial de Roblox en la que se basa cada regla. Los secretos nunca se muestran.

Qué comprueba

Tiene 5 reglas BLOCK y 10 reglas REVIEW.

BLOCK (corrígelo antes de publicar)

• R01: un manejador de remote escribe un valor enviado por el cliente en leaderstats, en un campo de moneda o de estadística, en la salud (TakeDamage), en datos guardados (profile.Data, incluido Data[key] = value con una clave del cliente), en un atributo de estadística, en un helper de estadísticas como AddCoins o coinStore:Increment, o en una escritura de DataStore (UpdateAsync se evalúa dentro de su función de transformación), sin un límite fijo, un clamp, una consulta en el servidor o un validador
• R02: loadstring, o LoadStringEnabled activado en un script o en el archivo de proyecto de Rojo
• R03: require() de un ID de recurso (un número, hexadecimal, tonumber(...) o un nombre al que se asigna un número), la clásica puerta trasera de los modelos gratuitos
• R04: URL de webhooks, claves o tokens en parámetros de URL, cabeceras Authorization, y valores con forma de clave bajo nombres como key, token, secret o password, en un LocalScript o en un ModuleScript que se replica a los jugadores (las palabras del juego como TokenShop_v2 se dejan en paz)
• R05: una cookie de cuenta .ROBLOSECURITY en cualquier parte del código

REVIEW (revísalo antes del lanzamiento)

• R11: argumentos de remotes usados sin comprobación en tiempo de ejecución (las anotaciones de tipo no son comprobaciones), y números que llegan a las estadísticas tras comprobar su rango pero sin comprobar NaN
• R12: manejadores de remotes que hacen trabajo costoso (llamadas Async, Instance.new, Clone) en un archivo sin tiempo de espera ni límite de frecuencia
• R13: RemoteFunction:InvokeClient
• R14: getfenv o setfenv
• R15: llamadas a DataStore fuera de pcall, de una Promise o de un helper de reintentos
• R16: código ofuscado u oculto: cadenas largas de bytes escapados, listas largas de string.char, cadenas codificadas largas, código desplazado fuera de la pantalla con espacios
• R17: los mismos secretos que en R04 en código del servidor o en scripts cuyo lugar en el juego no se puede determinar, y valores bajo nombres de secretos que pueden ser secretos pero no parecen claves generadas
• R18: un manejador de remote destruye, mueve o cambia de padre una Instance que pasó el cliente, o cambia la salud o las estadísticas de una Instance elegida por el cliente, sin comprobar que pertenece al jugador o que está a su alcance
• R19: texto de un jugador recibido por un remote que se pone en un TextLabel o se envía a todos los clientes en un archivo que nunca filtra texto
• R20: recompensas de productos para desarrolladores entregadas en PromptProductPurchaseFinished en lugar de ProcessReceipt, o un LocalScript que las pide al servidor desde ese evento

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, la alternativa más segura y el enlace a la documentación oficial de Roblox para cada regla
• Un proyecto de Rojo de ejemplo arriesgado y otro seguro, y el informe real que el escáner genera sobre el arriesgado

Limitaciones

Lee cada archivo tal como está escrito y sigue los valores del cliente a través de variables locales dentro de un solo manejador, no en otros módulos, así que no ve las comprobaciones hechas en un módulo de validación compartido, en middleware o en bibliotecas de remotes como BridgeNet, ByteNet, Red, Zap o Blink, y no analiza los manejadores registrados mediante esas bibliotecas. Las estadísticas se reconocen por palabras completas en sus nombres (Coins, Cash, Gems, XP, Level, Wins y similares), por lo que una moneda con un nombre poco habitual puede pasar desapercibida, y los secretos con nombres poco habituales no se notifican. Un límite de frecuencia o un filtro de texto en cualquier parte de un archivo cuenta para todos sus manejadores. No lee los archivos de lugar (.rbxl, .rbxm) ni los ajustes de Studio que están fuera del archivo de proyecto. El propio ejemplo de remote de Roblox (una pieza creada con el color y la posición del cliente) recibe R11 y R12 a propósito. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 30 archivos: SKILL.md, el escáner en scripts/ (7 archivos Python), references/rules.md (cada regla con su motivo y su alternativa más segura) y examples/ (20 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarlo: Esto es una skill de agente: una carpeta con un archivo SKILL.md y scripts de Python que un agente de programación con IA como Claude Code, Cursor o Codex CLI puede ejecutar. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red y sin enviar nada a ningún sitio.