Listener с tls_disable = 1 на 0.0.0.0 передаёт каждый токен и секрет по обычному HTTP, политика "break-glass" с path "*" и sudo фактически является root-политикой под другим именем, а сохранённый vault-init.txt отдаёт ваши ключи распечатывания и root-токен любому, у кого есть доступ к репозиторию. Этот навык находит такие и другие ошибки Vault, перечисленные ниже, до развёртывания и подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для конфигураций сервера Vault, Agent и Proxy (HCL и JSON, в том числе внутри values для vault-helm, ConfigMap и VAULT_LOCAL_CONFIG), ACL-политик (HCL, JSON, heredoc в Terraform vault_policy, правила vault_policy_document, heredoc vault policy write в скриптах и CI), а также файлов, которые запускают Vault или обращаются к нему: docker-compose, манифесты и аннотации инжектора Kubernetes, values для vault-helm, юниты systemd, Dockerfile, задания Nomad, файлы .env, shell-скрипты, GitHub Actions с vault-action и сохранённый вывод vault operator init. Он читает HCL с номером строки для каждого ключа (в том числе блоки, записанные в одну строку), знает значения Vault по умолчанию (listener без адреса привязывается к 127.0.0.1), сопоставление путей политик с + и *, устаревший синтаксис policy = "write" и ссылки env:// и file://, и никогда не обращается к Vault и ничего не запускает. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• V01: tcp listener с включённым tls_disable, слушающий не только loopback (0.0.0.0, [::], имя хоста, частный IP), в конфигурации развёртывания (в локальном compose-файле, скрипте docker run или пути dev/test это будет V19)
• V02: dev-сервер (vault server -dev, образ hashicorp/vault без команды, server.dev.enabled) в юните systemd, рабочей нагрузке Kubernetes, values Helm, задании Nomad или в compose-файле либо Dockerfile с production в имени; слова, указывающие на продакшен, в пути важнее локальных
• V03: путь политики, совпадающий со всеми путями (* или +/*), с sudo или правом записи
• V04: токены Vault (hvs., hvb., hvr. и более старые s., b., r.), ключи распечатывания и восстановления, сохранённый вывод init, буквальные значения VAULT_TOKEN, пароли, набранные после vault login, и учётные данные seal или хранилища, записанные в конфигурацию (заглушки и dev root-токен не сообщаются; в файлах .env.example только настоящие форматы токенов)

REVIEW (проверить перед релизом)

• V11: disable_mlock = true с бэкендом хранилища, отличным от integrated storage (проверьте, что swap отключён или зашифрован)
• V12: обычный http:// к Vault на другом хосте или отключённые проверки сертификатов (tls_skip_verify, VAULT_SKIP_VERIFY, skip_tls_verify, tlsSkipVerify, аннотация tls-skip-verify)
• V13: запись или sudo на шаблоне, покрывающем целую точку монтирования (secret/*, kv/data/*, auth/*), или чтение по всем путям
• V14: гранты, повышающие привилегии: большая часть sys/, запись любых ACL-политик (в том числе ограниченных, вроде app-*), sys/raw, устройства аудита, точки монтирования auth, generate-root, rekey, seal, каталог плагинов, sudo на auth/token/create, запись сущностей и групп identity
• V15: tls_min_version или tls_max_version со значением tls10 или tls11
• V16: raw_storage_endpoint, enable_unauthenticated_access или метрики либо pprof без аутентификации на listener, не являющемся loopback
• V17: настройки, которые Vault отклоняет или игнорирует: неизвестные права, например write, неизвестные ключи path, аргументы, заданные дважды (Vault 2.1), * не в конце пути, integrated storage без disable_mlock (Vault 1.20), TLS listener без сертификата
• V18: старый официальный образ Docker vault (последний релиз 1.13.3) или hashicorp/vault без тега или с latest
• V19: настройки только для разработки в локальной среде: TLS отключён на всех интерфейсах в compose-файле или пути dev/test, или dev root-токен используется, когда VAULT_ADDR указывает на другую машину

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам с причиной, более безопасным подходом и ссылкой на официальную документацию HashiCorp для каждого правила
• Рискованный и безопасный примеры проекта (конфигурации сервера и raft, политики, конфигурация Agent, юнит systemd, env-файл, compose-файл и сохранённый вывод init), а также реальный отчёт сканера по рискованному примеру

Ограничения

Файлы читаются в том виде, в каком они написаны. Устройства аудита, методы аутентификации и политики, которые реально получает токен, хранятся в хранилище Vault и не видны. Каждый путь политики оценивается отдельно, шаблонные пути считаются фиксированным текстом, политики Sentinel не читаются. Конфигурация по умолчанию чарта vault-helm работает без TLS на всех интерфейсах, поэтому V01 срабатывает на ней намеренно (пример compose с Docker Hub получает V19); service mesh, шифрующий трафик, не виден. Является ли файл развёртыванием или локальной средой, определяется по типу файла и словам в его пути внутри репозитория. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 27 файлами: SKILL.md, сканер в scripts/ (7 файлов Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (17 файлов примеров плюс report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно на Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, ничего никуда не отправляется.