exec(response.output_text), NEXT_PUBLIC_OPENAI_API_KEY в .env.local или f"SELECT ... WHERE category = '{category}'", где категорию выбрала модель: каждый из этих случаев превращает одну промпт-инъекцию или один просмотр вашей JavaScript-сборки в реальный инцидент. Этот навык находит такие и еще семь типов ошибок в приложениях, использующих LLM, до выпуска и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для файлов Python, JavaScript и TypeScript (включая компоненты React, Vue и Svelte), использующих OpenAI, Anthropic, Google GenAI, Mistral, Groq, Ollama, LangChain, LlamaIndex, Vercel AI SDK или OpenAI Agents SDK, а также для файлов .env. Он пропускает комментарии и фиксированные строки, отслеживает ответы модели через переменные, циклы, обратные вызовы .map(), состояние React и вспомогательные функции и распознает стандартные способы защиты (параметры запросов, DOMPurify, список разрешенных персон, needs_approval, подключение к базе данных только для чтения). Он никогда не выполняет ваш код и не обращается к модели. Результат проверки: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить перед передачей)

• L01: API-ключи LLM, записанные в коде (форматы ключей OpenAI, Anthropic, Groq, xAI, Hugging Face и других провайдеров или литералы, передаваемые клиенту)

• L02: ответы модели, передаваемые в eval, exec, subprocess, child_process или new Function

• L03: вставка ответов модели в текст SQL через f-строки, + или шаблонные литералы

• L04: передача ключей LLM в браузер (переменные ключей NEXT_PUBLIC_, VITE_ и EXPO_PUBLIC_, dangerouslyAllowBrowser)

REVIEW (проверить перед выпуском)

• L11: ввод из запроса в системном промпте или промпте разработчика

• L12: вызовы модели без ограничения числа выходных токенов (у вызовов Anthropic оно есть всегда, поэтому они не отмечаются)

• L13: запись полных промптов, сообщений чата или ответов модели в журналы

• L14: отображение ответов модели как необработанного HTML (dangerouslySetInnerHTML, innerHTML, v-html, unsafe_allow_html)

• L15: инструменты агента, которые выполняют команды оболочки или код либо записывают файлы без подтверждения

• L16: выполнение SQL, написанного моделью, без изменений и агенты преобразования текста в SQL без подключения только для чтения

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с объяснениями и более безопасным подходом для каждого правила

• Небезопасный и безопасный примеры проектов, а также фактический отчет сканера по небезопасному примеру

Ограничения

Каждый файл проверяется отдельно: ответы модели, передаваемые в код другого файла, шаблоны промптов, хранящиеся в другом месте, извлеченные документы, настройки на стороне провайдера и изолированная среда выполнения инструментов не проверяются. NOT FLAGGED не гарантирует отсутствие проблем.

Содержимое

Один ZIP-архив с 21 файлом: SKILL.md, сканер в scripts/ (6 файлов Python), references/rules.md (все правила с объяснениями и более безопасными подходами) и examples/ (12 файлов примеров и report.md, фактический отчет сканера по небезопасному примеру).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.