工具集

用多个并行子代理评审 PR，逐条按置信度打分、过滤误报，可把结果发成 PR 评论。Anthropic 官方插件，需要已登录的 GitHub CLI。

在本地用 Docker 运行 GitHub Actions 工作流，改完 .github/workflows 不必反复提交推送就能验证 CI，也能把工作流当作本地任务运行器。需要本机安装 Docker。

在 Git、GitHub、S3、文件系统等来源中查找泄露的凭据，可识别 800 多种密钥类型，并登录对应服务验证密钥是否仍然有效，减少误报。

Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。

CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。