工具集

安全公司 Trail of Bits 出品的技能合集，40 多个插件覆盖代码审计、CodeQL/Semgrep 静态分析、差异评审、智能合约与密码学审计、模糊测试等，也可作为 Claude Code / Codex 插件市场安装。

Trail of Bits 出品的静态分析技能组：用 CodeQL 做跨过程污点追踪与数据流分析，用 Semgrep 做规则扫描，并解析、去重 SARIF 结果。需本机安装 CodeQL 或 Semgrep。

Trail of Bits 出品，从安全视角审查 PR、提交或 diff：结合 git blame 追溯历史、按调用方数量估算改动影响范围、检查测试覆盖缺口，输出 Markdown 审查报告。

Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。

Trail of Bits 出品的技能：审计 npm、PyPI、Go 依赖的供应链风险——直接依赖与整棵锁文件树的已知漏洞公告、已弃用或归档的上游、npm 发布者集中度、安装期脚本执行。需要 uv，建议配置已登录的 gh。