Команда echo "$API_TOKEN" в скрипте помещает токен в лог задания, а файл .env, указанный в artifacts, может скачать любой, кто видит пайплайн. Этот навык находит такие проблемы и еще восемь рисков GitLab CI и подсказывает, как исправить каждый из них.

Ваш агент запускает сканер для .gitlab-ci.yml, файлов *.gitlab-ci.yml и YAML-файлов в .gitlab/. Он читает глобальные настройки, default:, скрытые задания и каждое задание, следует за якорями YAML и extends и пропускает строки с !reference. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секретные значения никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• G01: пароль, токен или ключ, прописанный в variables

• G02: curl или wget с передачей в оболочку через пайп

• G03: секретная переменная, выводимая через echo в лог задания

• G04: файл .env, приватный ключ или состояние Terraform, сохраняемые как артефакт

REVIEW (проверить перед релизом)

• G11: образ или сервис без тега или с :latest

• G12: include по URL либо проект или компонент, не закрепленный за тегом

• G13: задание сканирования безопасности с allow_failure: true

• G14: отключенные проверки TLS (curl -k, GIT_SSL_NO_VERIFY)

• G15: env или printenv, выводящие все переменные в лог

• G16: задание деплоя в продакшен без rules, only или ручного шага

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный примеры пайплайнов, а также реальный отчет сканера по рискованному

Ограничения

Сканер читает каждый файл по отдельности, не загружает подключаемые файлы и не видит переменные CI/CD, заданные в настройках GitLab. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 8 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (2 файла-примера, а также report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.