Trail of Bits Skills: los métodos de una firma de seguridad en tu agente
Una buena auditoría de seguridad depende de un método que suele quedarse en la cabeza de los especialistas. Trail of Bits publica sus plugins para Claude Code y Codex: escáneres de contratos inteligentes, revisión de C/C++ y Rust, análisis estático con CodeQL y Semgrep, riesgos de dependencias y herramientas para descartar falsos positivos.
building-secure-contracts incluye escáneres de vulnerabilidades para seis blockchains, entre ellas Solana, Cosmos, Substrate y TON, y cinco asistentes de buenas prácticas.
c-review y rust-review revisan memoria, desbordamientos de enteros, condiciones de carrera, FFI y la frontera unsafe; rust-review genera SARIF.
supply-chain-risk-auditor revisa dependencias de npm, PyPI y Go: avisos para la versión exacta, proyectos abandonados y scripts de instalación.
fp-check analiza paso a paso un fallo sospechoso y emite TRUE POSITIVE o FALSE POSITIVE con las pruebas documentadas.
constant-time-analysis busca canales laterales de tiempo en código criptográfico; según el README, con él se halló uno en la firma ML-DSA de RustCrypto.
Cuándo usarla
Se acerca una auditoría externa y el repositorio necesita análisis estático, más cobertura de pruebas y menos código muerto.
Un pull request toca la lógica de autorización y quieres una revisión que tenga en cuenta el historial de git y cuántas funciones lo llaman.
Escribiste una regla de Semgrep para un fallo y quieres que variant-analysis encuentre el mismo patrón en el resto del código.
Pídale al agente
Haz un differential-review de esta rama y marca los cambios que afectan a los permisos
Escanea este programa de Anchor en busca de comprobaciones de firmante y propietario ausentes
Con fp-check, dime si el desbordamiento de búfer reportado en parser.c es real
Preguntas
¿Cómo se instala Trail of Bits Skills?
En Claude Code, añade el marketplace con /plugin marketplace add trailofbits/skills y elige plugins en /plugin menu. Con la CLI de skills, todo el conjunto se instala con npx skills add trailofbits/skills.
¿Funcionan estos plugins en Codex?
Sí. Codex lee directamente los marketplaces de plugins de Claude: codex plugin marketplace add trailofbits/skills y después codex plugin add con el nombre del plugin y @trailofbits.
¿Puedo usar estas skills en un proyecto comercial?
CC BY-SA 4.0 permite el uso comercial siempre que se reconozca la autoría. Las versiones modificadas que distribuyas deben llevar la misma licencia.
