Официальный плагин claude-security от AnthropicУ claude вышел официальный плагин claude-security для поиска дыр проекта. Ставится легко,
/plugin install claude-security@claude-plugins-official
/reload-plugins
По доке рекомендуют запускать через
/claude-security:scan, но тогда получите The bare /claude-security:scan command was invoked without arguments, so there's nothing for me to run.
На практике:Запуск через
/claude-security:claude-security Дальше он предложит варианты, что сканировать и запустит скан
Из интересного:
Каждую находку отдает верификаторам с задачей её опровергнуть. В итоговый отчет попадает только самое важное, без "потенциальных дыр". По итогу получите .md файл с находками
У меня, например, нашел классическую дыру мобильных приложений:
ссылка в вебвью или по диплинку открывается без единой проверки. Никакого allow list или сверки хоста. Можно подсунуть любой адрес, а если в вебвью ещё и заголовки подкладываются, то вместе с переходом можно угнать и Bearer-токен Итог: плагин полезный, прогнать проект стоит. Находит то, на что редко обращают внимание при разработке. Да и вам будет жирный + за внимание к безопасности
Нюанс - Anthropic честно предупреждают, что сканы недетерминированные: два прогона по одному коду дадут разные находки
