AC security-tester
Тестирование безопасности веб-приложений и API на основе стандартов OWASP. Выявление распространенных уязвимостей (инъекции, обход аутентификации, XSS, CSRF, IDOR), генерация тестовых случаев безопасности, анализ результатов сканирования и написание отчетов о тестировании безопасности. Соответствует OWASP Testing Guide v4.2, OWASP Top 10 (2021) и классификациям CWE. Используйте для: (1) тестирования безопасности веб-приложений или API, (2) написания тестовых случаев безопасности, (3) анализа результатов сканирования уязвимостей, (4) проверки OWASP Top 10, (5) тестирования аутентификации/авторизации, (6) тестирования проверки ввода, (7) «安全测试», «漏洞测试», «OWASP», «XSS测试», «SQL注入», «渗透测试», «权限测试», «越权测试», «IDOR», «CSRF». НЕ используйте для: статического анализа на уровне кода (используйте инструменты SAST), тестирования на проникновение инфраструктуры (используйте специализированные инструменты пентеста) или аудита соответствия требованиям (используйте инструменты GRC).
машинный переводПоказать оригиналСкрыть оригинал«Security testing for web applications and APIs based on OWASP standard…»
Security testing for web applications and APIs based on OWASP standards. Identify common vulnerabilities (injection, auth bypass, XSS, CSRF, IDOR), generate security test cases, analyze scan results, and write security test reports. Follows OWASP Testing Guide v4.2, OWASP Top 10 (2021), and CWE classifications. Use when: (1) security testing web apps or APIs, (2) writing security test cases, (3) analyzing vulnerability scan results, (4) OWASP Top 10 verification, (5) authentication/authorization testing, (6) input validation testing, (7) "安全测试", "漏洞测试", "OWASP", "XSS测试", "SQL注入", "渗透测试", "权限测试", "越权测试", "IDOR", "CSRF". NOT for: code-level static analysis (use SAST tools), infrastructure penetration testing (use dedicated pentest tools), or compliance auditing (use GRC tools).
Тестирование безопасности веб-приложений и API на основе стандартов OWASP.
Как процесс C 52/100 · Есть пробелы — слабые места: результат и критерий готовности, входы и предусловия, ошибки и развилки
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 7
✓ Критических и высоких находок нет
Средние и низкие: 7
-
низкая Рискованное назначение
intent-offensive-securityreferences/owasp-top10-tests.md:23Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (тестовый файл / пример)### Privilege Escalation
тестовый файл -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:14Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)testing (use dedicated pentest tools), or compliance auditing (use GRC tools).
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:27Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| A01 | Broken Access Control | CWE-284 | IDOR, privilege escalation, force browse, CORS |
-
низкая Утечка данных
net-credential-useSKILL.md:46Учётные данные используются в сетевом вызове (проверьте, что адрес — нужный сервис) (документация security-скилла)curl -H "Authorization: Bearer $USER_A_TOKEN" \
security-скилл -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:50Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)# Horizontal privilege escalation
-
низкая Утечка данных
net-credential-useSKILL.md:51Учётные данные используются в сетевом вызове (проверьте, что адрес — нужный сервис) (документация security-скилла)curl -H "Authorization: Bearer $NORMAL_USER_TOKEN" \
security-скилл -
низкая Утечка данных
net-credential-useSKILL.md:64Учётные данные используются в сетевом вызове (проверьте, что адрес — нужный сервис) (документация security-скилла)curl -X DELETE -H "Authorization: Bearer $READONLY_TOKEN" \
security-скилл
Просканировано файлов: 4. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
✓ По спецификации Agent Skills замечаний нет
Процессный рейтинг: все десять параметров 52/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 50Шаги. Шагов: 2
- 50Когда включается. Не сказано, при каком запросе скилл включается
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 1273 токенов
- 100Повторный запуск. Изменяющих операций нет
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +3Нет пошаговых инструкций или чек-листа
- +3Формат ответа не описан: модель каждый раз решает сама
- +1Лицензия не указана
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +3Длина description 786 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 10 заголовков
- +4Есть примеры (5 блоков кода)
- +4Справочные файлы упоминаются в инструкциях (2 из 2)
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 89.