Trail of Bits Skills : la méthode d’un cabinet de sécurité pour l’agent
Un bon audit de sécurité repose sur une méthode que seuls les spécialistes maîtrisent d’habitude. Trail of Bits publie ses plugins pour Claude Code et Codex : scanners de smart contracts, revue de C/C++ et de Rust, analyse statique avec CodeQL et Semgrep, risques des dépendances et outils pour écarter les faux positifs.
building-secure-contracts regroupe des scanners de vulnérabilités pour six blockchains, dont Solana, Cosmos, Substrate et TON, et cinq assistants de bonnes pratiques.
c-review et rust-review couvrent sûreté mémoire, débordements d’entiers, concurrence, FFI et frontière unsafe ; rust-review produit du SARIF.
supply-chain-risk-auditor examine les dépendances npm, PyPI et Go : avis liés à la version, projets abandonnés et scripts d’installation.
fp-check examine pas à pas un bug suspecté et conclut TRUE POSITIVE ou FALSE POSITIVE, preuves à l’appui.
constant-time-analysis traque les fuites temporelles dans le code cryptographique ; selon le README, il en a révélé une dans la signature ML-DSA de RustCrypto.
Quand s’en servir
Un audit externe approche et le dépôt doit passer l’analyse statique, gagner en couverture de tests et perdre son code mort.
Une pull request touche à l’autorisation et vous voulez une revue qui tienne compte de l’historique git et du nombre d’appelants.
Vous avez écrit une règle Semgrep pour un bug et voulez que variant-analysis retrouve le même motif ailleurs dans le code.
Demandez à l’agent
Fais un differential-review de cette branche et signale les changements qui touchent aux droits
Analyse ce programme Anchor à la recherche de contrôles de signataire et de propriétaire manquants
Avec fp-check, dis-moi si le débordement de tampon signalé dans parser.c est réel
Questions
Comment installer Trail of Bits Skills ?
Dans Claude Code, ajoutez la marketplace avec /plugin marketplace add trailofbits/skills, puis choisissez les plugins dans /plugin menu. Avec la CLI skills, tout l’ensemble s’installe par npx skills add trailofbits/skills.
Ces plugins fonctionnent-ils dans Codex ?
Oui. Codex lit directement les marketplaces de plugins Claude : codex plugin marketplace add trailofbits/skills, puis codex plugin add avec le nom du plugin suivi de @trailofbits.
Peut-on utiliser ces skills dans un projet commercial ?
La licence CC BY-SA 4.0 autorise l’usage commercial à condition de créditer l’auteur. Toute version modifiée que vous diffusez doit garder la même licence.
