claude-code-security-review

claude-code-security-review ⭐ 6.7k Claude Code Security Review uses Claude to analyze pull requests for security issues, for developers. 🔗 anthropics/claude-code-security-review #opensource t.co

Open source AI code review: which part is actually open Open source AI code review describes at least five different arrangements, and the license badge on the repository tells you almost none of them. What actually decides how a review behaves is where the diff goes and which process holds it. Those two answers can be unrelated to the license file sitting at the root of the repo. This matters more now than it did a year ago, because most of the code arriving in review was written by an agent. If the reviewer runs inside your infrastructure with your model key, the agent's diff never leaves. If the reviewer is hosted, every agent pull request ships that diff to somebody else's service, and the pace agents set means that happens far more often than it used to. The license field on the repository is the weakest signal available GitHub's API reports a license for a repository by reading the license file it can recognize. For kodustech/kodus-ai, that field comes back as NOASSERTION, even though the README carries an AGPLv3 badge. The reason is visible in the repo's own license file: it is a dual-license arrangement. Source outside the Enterprise Code is AGPL-3.0, while any file with .ee. in its name or inside an ee/ directory falls under a separate Kodus Enterprise Code License. That second license permits a self-hosted Community user to run the unmodified Enterprise Code needed for Community features, including code review and bring-your-own-key, in production. It does not permit modifying that code, and it does not permit using Enterprise-only features. A single SPDX identifier cannot express that. The license field on a repo page is a convenience for scanning dependencies, and it has no way to say which directories the permissive half covers. Two more examples from the same category. the-pr-agent/pr-agent reports MIT, and the LICENSE file confirms plain MIT. alibaba/open-code-review reports Apache-2.0 and the README states it plainly, Copyright 2026 Alibaba. Those two are the easy cases, and they are easy precisely because the whole project is under one license. Five things teams mean when they say a reviewer is open source The repository is the client, and the reviewer is hosted sourcery-ai/sourcery is MIT, and the repository is genuinely open. Read the top-level contents and you find a license, a pre-commit-hooks.yaml, a write-up about building an LSP client, packaging metadata, and a demo GIF. The README's installation path for pull request reviews is adding the GitHub App, and it says the reviews use OpenAI and Anthropic models, which means the diff of the PR is sent to those providers. For private repositories the README points to a Team or Pro plan. The code being open and the review being open are two separate facts here. If your question is whether the thing commenting on your PRs can be audited and run by you, the MIT license does not answer it. Sourcery's README is unusually direct about where the product stands: it says the goal is the kind of review you would expect from a colleague, and that they are not there yet. Self-hostable, with a carve-out that the badge hides Kodus is the shape most teams picture when they hear the phrase, and it still has an edge worth reading before you commit. The repository describes itself as open source, self-hosted AI code review with bring-your-own-LLM, and the docs state that all source is available to inspect, use, and improve. The self-host path is documented rather than implied: Docker on a VM you control, at least 2 CPU cores, 8 GB of RAM, and 60 GB of free disk. The CLI talks to your instance over HTTPS through KODUS_API_URL and a team key, and the documented CI shape is a JSON review with --fail-on error so the pipeline fails on findings above a threshold. The carve-out is the .ee. split described above, and there is one operational detail that belongs in the same paragraph. A self-hosted instance sends one anonymous heartbeat per day, carrying aggregated counters and no code, names, or identifiers, and it can be turned off with KODUS_TELEMETRY_DISABLED=true. A self-hosted review tool that phones home once a day is a different posture from one that never does, and the honest version of the claim includes the phone call. A community-maintained legacy project sitting next to the vendor's product PR-Agent is the case that breaks the usual assumption that an open-source reviewer is the company's product. The README says outright that the repository is not the Qodo offering for open-source projects, and describes PR-Agent as an open-source, AI-powered code review agent and a community-maintained legacy project of Qodo, distinct from Qodo's primary offering. It carries 13,868 stars as of 1 November 2026, which makes it one of the largest repositories in the category. That structure has visible costs. Releases from 0.34.2 onward publish to a new Docker Hub namespace, while older images stay at the legacy namespace as a frozen archive with nothing new pushed. The README also notes that /help_docs has been disabled since v0.36.1 pending a fix for a credential-exposure issue. If you pin an image or call a command, you are depending on a community project's release cadence, and the vendor's paid product will move on its own schedule. A CLI that never touches your pull request alibaba/open-code-review is Apache-2.0 and installs from npm as @alibaba-group/open-code-review, giving you an ocr command. You configure a provider and a model, then run ocr review against staged changes, a branch range, or a single commit, or ocr scan over whole files where there is no useful diff. There is no app to install on the forge and no hosted review step, which means the review is a step in your pipeline that you own end to end. It also publishes a benchmark with a method attached, which is rare enough in this category to be worth naming. The README describes a set built from 50 popular open-source repositories, 200 real pull requests, and 10 programming languages, cross-validated by more than 80 senior engineers into 1,505 annotated ground-truth issues, and links the AACR-Bench dataset on Hugging Face. The dataset description lists 2,145 review comments, made up of 1,505 expert-verified correct comments and 640 incorrect ones. The README also reports the result that goes against the vendor interest: recall is lower than a general-purpose agent's, described as a deliberate trade in favor of precision. A published dataset you can inspect is the thing that separates a benchmark from a claim. When a tool reports a precision number with no corpus behind it, there is nothing to check. A GitHub Action where you inherit the security posture Anthropic's claude-code-security-review is MIT and runs as a GitHub Action on the PR diff, posting findings as comments, with a default model and a 20-minute analysis timeout. The repository's security section says the action is not hardened against prompt injection attacks and should only be used to review trusted pull requests, and recommends configuring the repository to require approval for all external contributors. That is the right disclosure, and it is also the part teams skip. Running the reviewer yourself does not remove the fact that the reviewer reads a diff, and a diff is attacker-controlled text whenever an outside contributor can open a PR. Owning the infrastructure changes who holds the data. It does not change what the model is being asked to trust. Free for open source projects is a different thing again CodeRabbit's OSS plan gives public repositories Team features with no paid subscription, and its review limits vary by repository star count. Nothing about that is open source software. The company's code is not published, the reviews run on CodeRabbit's infrastructure, and the free tier is priced against your project's popularity rather than released under a license. The distinction is easy to blur because both arrangements end with a maintainer paying nothing. One of them means you can read and run the code. The other means you were granted free usage of a service, on terms that can change. If you are comparing hosted reviewers and want to know what a free arrangement really includes, the tier boundaries matter more than the price of zero, which is the same question I looked at in what the free tier of a hosted reviewer actually covers. For contrast, Copilot code review is closed and hosted, and its defaults are documented in GitHub's own instructions: Copilot leaves a Comment review by default, which does not count toward required approvals, and approvals are off by default at the enterprise, organization, and repository levels. There is no repo to read and no license to check, so the useful questions move to configuration, which is the territory covered in what the platform decides for you. The five shapes side by side | Project | What the repository contains | License covering the review path | Where the diff goes | What you run yourself | | - | - | - | - | - | | Sourcery | Editor client, pre-commit hook, packaging | MIT for the repo; hosted service for PR reviews | To OpenAI and Anthropic through Sourcery | The client, not the reviewer | | Kodus | The reviewer, self-host deployment, CLI | AGPL-3.0, with .ee. files under a separate Enterprise Code License | To the model provider you key, or to your own instance | The instance, the model key, the CI step | | PR-Agent | The reviewer, actions, CLI, configuration | MIT | To whichever model you configure | The action or container, on a community release cadence | | Alibaba Open Code Review | A CLI with no forge integration | Apache-2.0 | To the provider endpoint you configure | Everything, including when it runs | | Anthropic security review | A GitHub Action for security findings | MIT | To Anthropic's API on each run | The action, and the injection risk with it | What to check before you call a reviewer open source Read the license file, not the badge, and check whether it is one license or a split with a directory-based carve-out. Then open the README and look for the sentence that says what the project is not, because vendors write those sentences to stop a specific misunderstanding, and that misunderstanding is usually the one you are about to have. Then trace the diff: which endpoint receives it, whose key is attached, and whether the review happens in a process you control. Finally, run the install instructions once on a throwaway repository and see what the pipeline actually needs. The npm package, the container namespace, the required API key, and the disabled command are all visible before you commit a team to it. The reason to do this before adoption rather than after is volume. An agent-authored change is still a diff, and the reviewer reads it the same way. Choosing a self-hosted reviewer means the increasing number of those diffs stays inside your network boundary, and the trade is that you now operate the review path, which has its own real cost. Choosing a hosted reviewer means the operational burden is somebody else's, and the diff leaves on every push. Both are defensible, and the license badge does not tell you which one you picked. Two smaller checks belong in the same pass, because they decide how much the reviewer can enforce once it is running. Confirm which rule files it actually reads from your repository, since a reviewer that ignores your conventions will produce findings your team learns to dismiss, which is the problem behind which rule files a reviewer actually reads. And price the self-hosted path honestly, since the hardware floor and the operational time are the parts that get left out of the comparison, which is what the self-hosting cost is about.

Every Pull Request Deserves an AI Security Check #github #devops #shorts Most attacks are AI-accelerated now. So use AI on the other side of the diff. Claude Code Security Review is an open-source GitHub Action from Anthropic (MIT licensed, free) that reviews the changed files in every pull request and posts its findings as inline comments — on the exact line, with a suggested fix. 🔍 What it does Diff-aware: it only reads what your change actually does, not your whole repo. It reports findings with a severity, suggests the fix, and filters out false positives before commenting. 🔑 What it catches Hardcoded secrets and other data exposure, broken auth and privilege escalation, injection (SQL, command, XXE and friends), weak crypto, insecure deserialisation, XSS, vulnerable dependencies — all before you merge. ⚙️ Setup It's a workflow file. Trigger on pull_request, give it pull-requests: write, add the action with comment-pr: true and your API key as a repo secret. That's it. Repo: anthropics/claude-code-security-review There's also a /security-review slash command in Claude Code itself if you'd rather catch things before the PR exists. What gets you is never the exploit on the news. It's the thing you already use. Follow @tech.with.nantha for more AI and security engineering, every week. Automate your AI security reviewer to catch vulnerabilities in every pull request before they reach production. Hacktober increases the risk of AI-accelerated attacks, making automated code analysis essential. This video covers a free tool from Anthropic that runs as a GitHub action to scan your applications for critical flaws. You will learn how to identify hardcoded secrets, injection flaws, and broken authentication early in your development cycle. By integrating this automated security reviewer into your workflow, you ensure that every pull request undergoes a rigorous check. This process helps teams maintain secure codebases without manual overhead. Understanding how to deploy these security tools is a critical upgrade for any developer focused on proactive threat detection. Subscribe for more practical AI engineering breakdowns.

3 Open-Source Tools to Review AI-Written Code Before You Push (Sphinx, OpenQodex) Sphinx quizzes you on your diff before a git push goes through. OpenQodex runs scanners plus a separate Claude Code or Codex reviewer on your machine. Anthropic's security review action checks the pull request. Note: Sphinx sets a global git hook, and the security action is only for trusted PRs, so read each README first. All three are open source; the reviews themselves use your Claude Code/Codex plan or an API key. Security review action: anthropics/claude-code-security-review [ar] 3 أدوات مفتوحة المصدر لمراجعة الأكواد التي يكتبها الذكاء الاصطناعي قبل رفعها (Sphinx, OpenQodex) يُجري Sphinx اختبارًا سريعًا على التغييرات التي أجريتها قبل إتمام عملية الدفع (git push). يُشغّل OpenQodex ماسحات ضوئية بالإضافة إلى مُراجع Claude Code أو Codex منفصل على جهازك. يتحقق إجراء مراجعة الأمان في Anthropic من طلب السحب. ملاحظة: يُفعّل Sphinx خطاف Git عامًا، ويُطبّق إجراء الأمان فقط على طلبات السحب الموثوقة، لذا يُرجى قراءة ملف README الخاص بكل طلب سحب أولًا. جميع هذه الأدوات مفتوحة المصدر؛ وتستخدم المراجعات خطة Claude Code/Codex الخاصة بك أو مفتاح API. إجراء مراجعة الأمان: anthropics/claude-code-security-review [bn] AI-লিখিত কোড পুশ করার আগে রিভিউর জন্য ৩টি ওপেন-সোর্স টুল (Sphinx, OpenQodex) গিট পুশ সম্পন্ন হওয়ার আগে স্ফিঙ্কস আপনার ডিফের উপর কুইজ নেয়। ওপেনকোডেক্স আপনার মেশিনে স্ক্যানার এবং একটি পৃথক ক্লড কোড বা কোডেক্স রিভিউয়ার চালায়। অ্যানথ্রোপিকের সিকিউরিটি রিভিউ অ্যাকশন পুল রিকোয়েস্টটি পরীক্ষা করে। দ্রষ্টব্য: স্ফিঙ্কস একটি গ্লোবাল গিট হুক সেট করে, এবং সিকিউরিটি অ্যাকশনটি শুধুমাত্র বিশ্বস্ত পিআর-এর জন্য, তাই প্রথমে প্রতিটি রিডমি (README) পড়ুন। তিনটিই ওপেন সোর্স; রিভিউগুলো আপনার ক্লড কোড/কোডেক্স প্ল্যান বা একটি এপিআই কী ব্যবহার করে। সিকিউরিটি রিভিউ অ্যাকশন: anthropics/claude-code-security-review [de-DE] 3 Open-Source-Tools zur Überprüfung von KI-generiertem Code vor dem Push (Sphinx, OpenQodex) Sphinx befragt Sie zu Ihren Änderungen, bevor ein Git-Push ausgeführt wird. OpenQodex führt Scanner und zusätzlich einen separaten Claude Code- oder Codex-Reviewer auf Ihrem Rechner aus. Die Sicherheitsprüfung von Anthropics überprüft den Pull Request. Hinweis: Sphinx setzt einen globalen Git-Hook, und die Sicherheitsprüfung gilt nur für vertrauenswürdige Pull Requests. Lesen Sie daher bitte zuerst die jeweiligen README-Dateien. Alle drei sind Open Source; die Prüfungen selbst nutzen Ihren Claude Code-/Codex-Plan oder einen API-Schlüssel. Sicherheitsprüfung: anthropics/claude-code-security-review [es-US] 3 herramientas de código abierto para revisar código escrito por IA antes de enviarlo (Sphinx, Op... Sphinx te hace preguntas sobre tus diferencias antes de que se complete un `git push`. OpenQodex ejecuta escáneres y un revisor independiente de Claude Code o Codex en tu máquina. La acción de revisión de seguridad de Anthropics verifica la solicitud de extracción. Nota: Sphinx establece un gancho global de Git, y la acción de seguridad solo se aplica a solicitudes de extracción de confianza, así que lee primero cada archivo README. Los tres son de código abierto; las revisiones utilizan tu plan de Claude Code/Codex o una clave API. Acción de revisión de seguridad: anthropics/claude-code-security-review [fr-FR] 3 outils open source pour relire le code généré par IA avant de pousser vos modifications (Sphinx... Sphinx vous interroge sur vos différences avant qu'un `git push` ne soit validé. OpenQodex exécute des scanners ainsi qu'un relecteur Claude Code ou Codex distinct sur votre machine. L'action de revue de sécurité d'Anthropic vérifie la demande de fusion. Remarque : Sphinx configure un hook Git global et l'action de sécurité ne concerne que les demandes de fusion de confiance. Veuillez donc lire attentivement le fichier README de chaque outil au préalable. Ces trois outils sont open source ; les revues elles-mêmes utilisent votre abonnement Claude Code/Codex ou une clé API. Action de revue de sécurité : anthropics/claude-code-security-review [hi] AI द्वारा लिखे गए कोड को पुश करने से पहले रिव्यू करने के लिए 3 ओपन-सोर्स टूल्स (Sphinx, OpenQodex) Sphinx, git push करने से पहले आपके diff पर प्रश्न पूछता है। OpenQodex आपके कंप्यूटर पर स्कैनर और एक अलग Claude Code या Codex समीक्षक चलाता है। Anthropic की सुरक्षा समीक्षा कार्रवाई पुल अनुरोध की जाँच करती है। ध्यान दें: Sphinx एक वैश्विक git हुक सेट करता है, और सुरक्षा कार्रवाई केवल विश्वसनीय PRs के लिए है, इसलिए प्रत्येक README को पहले पढ़ें। ये तीनों ओपन सोर्स हैं; समीक्षाएँ आपके Claude Code/Codex प्लान या API कुंजी का उपयोग करती हैं। सुरक्षा समीक्षा कार्रवाई: anthropics/claude-code-security-review [id] 3 Tool Open-Source untuk Meninjau Kode Buatan AI Sebelum Anda Push (Sphinx, OpenQodex) Sphinx menguji Anda tentang perbedaan kode sebelum git push diproses. OpenQodex menjalankan pemindai plus peninjau Claude Code atau Codex terpisah di mesin Anda. Tindakan peninjauan keamanan Anthropics memeriksa permintaan pull. Catatan: Sphinx menetapkan git hook global, dan tindakan keamanan hanya untuk PR tepercaya, jadi bacalah setiap README terlebih dahulu. Ketiganya adalah sumber terbuka; peninjauan itu sendiri menggunakan paket Claude Code/Codex Anda atau kunci API. Tindakan peninjauan keamanan: anthropics/claude-code-security-review [it] 3 strumenti open source per revisionare il codice scritto dall'IA prima del push (Sphinx, OpenQodex) Sphinx esegue un quiz sulle differenze tra le modifiche prima di un push su Git. OpenQodex esegue degli scanner e un revisore separato di Claude Code o Codex sulla tua macchina. L'azione di revisione di sicurezza di Anthropic controlla la pull request. Nota: Sphinx imposta un hook globale su Git e l'azione di sicurezza è valida solo per le pull request considerate attendibili, quindi leggi prima ogni file README. Tutti e tre sono open source; le revisioni stesse utilizzano il tuo piano Claude Code/Codex o una chiave API. Azione di revisione di sicurezza: anthropics/claude-code-security-review [iw] 3 כלים בקוד פתוח לבדיקת קוד שנכתב על ידי בינה מלאכותית לפני ה-Push‏ (Sphinx, OpenQodex) Sphinx בוחן אותך על ההבדל שלך לפני ש-git push עובר. OpenQodex מפעיל סורקים בתוספת Claude Code או Codex screwner נפרד על המחשב שלך. פעולת סקירת האבטחה של Anthropic בודקת את בקשת ה-pull. הערה: Sphinx מגדיר hook של git גלובלי, ופעולת האבטחה מיועדת רק ל-PRs מהימנים, לכן קרא תחילה כל README. שלושתם הם קוד פתוח; הסקירות עצמן משתמשות בתוכנית Claude Code/Codex שלך או במפתח API. פעולת סקירת אבטחה: anthropics/claude-code-security-review [ja] AIが書いたコードをプッシュ前にレビューするオープンソースツール3選（Sphinx, OpenQodex） Sphinxはgit pushを実行する前にdiffの内容を確認します。OpenQodexはスキャナーに加え、Claude CodeまたはCodexのレビュアーを別途マシン上で実行します。Anthropicのセキュリティレビュー機能はプルリクエストをチェックします。 注：Sphinxはグローバルなgitフックを設定し、セキュリティレビュー機能は信頼できるプルリクエストのみを対象としているため、各READMEを事前にお読みください。これら3つはすべてオープンソースです。レビュー自体には、Claude Code/CodexプランまたはAPIキーが使用されます。 セキュリティレビュー機能：anthropics/claude-code-security-review [ko] AI가 작성한 코드를 푸시하기 전 검토할 수 있는 오픈소스 도구 3가지 (Sphinx, OpenQodex) Sphinx는 Git 푸시가 실행되기 전에 diff에 대한 퀴즈를 제공합니다. OpenQodex는 스캐너를 실행하고 별도의 Claude Code 또는 Codex 리뷰어를 사용자의 컴퓨터에서 실행합니다. Anthropic의 보안 검토 작업은 풀 리퀘스트를 검사합니다. 참고: Sphinx는 전역 Git 훅을 설정하며, 보안 검토 작업은 신뢰할 수 있는 풀 리퀘스트에만 적용되므로 각 README 파일을 먼저 읽어보세요. 세 가지 모두 오픈 소스이며, 검토 자체는 Claude Code/Codex 플랜 또는 API 키를 사용합니다. 보안 검토 작업: anthropics/claude-code-security-review [ml] AI എഴുതിയ കോഡ് പുഷ് ചെയ്യുന്നതിന് മുൻപ് പരിശോധിക്കാൻ 3 ഓപ്പൺ-സോഴ്സ് ടൂളുകൾ (Sphinx, OpenQodex) ഒരു ജിറ്റ് പുഷ് കടന്നുപോകുന്നതിന് മുമ്പ് സ്ഫിങ്ക്സ് നിങ്ങളുടെ ഡിഫിൽ ക്വിസ് ചെയ്യുന്നു. ഓപ്പൺക്വോഡെക്സ് നിങ്ങളുടെ മെഷീനിൽ സ്കാനറുകളും ഒരു പ്രത്യേക ക്ലോഡ് കോഡോ കോഡെക്സ് റിവ്യൂവറോ പ്രവർത്തിപ്പിക്കുന്നു. ആന്ത്രോപിക്കിന്റെ സുരക്ഷാ അവലോകന പ്രവർത്തനം പുൾ അഭ്യർത്ഥന പരിശോധിക്കുന്നു. കുറിപ്പ്: സ്ഫിങ്ക്സ് ഒരു ആഗോള ജിറ്റ് ഹുക്ക് സജ്ജമാക്കുന്നു, സുരക്ഷാ പ്രവർത്തനം വിശ്വസനീയ പിആർ-കൾക്ക് മാത്രമുള്ളതാണ്, അതിനാൽ ആദ്യം ഓരോ README-യും വായിക്കുക. മൂന്നും ഓപ്പൺ സോഴ്‌സാണ്; അവലോകനങ്ങൾ തന്നെ നിങ്ങളുടെ ക്ലോഡ് കോഡ്/കോഡെക്സ് പ്ലാൻ അല്ലെങ്കിൽ ഒരു API കീ ഉപയോഗിക്കുന്നു. സുരക്ഷാ അവലോകന പ്രവർത്തനം: anthropics/claude-code-security-review [nl-NL] 3 open-source tools om door AI geschreven code te controleren voordat je pusht (Sphinx, OpenQodex) Sphinx ondervraagt ​​je over je diff voordat een git push wordt uitgevoerd. OpenQodex voert scanners uit plus een aparte Claude Code- of Codex-reviewer op je machine. De beveiligingsreviewactie van Anthropics controleert de pull request. Let op: Sphinx stelt een globale git hook in en de beveiligingsreviewactie is alleen voor vertrouwde pull requests, dus lees eerst de README van elk bestand. Alle drie zijn open source; de ​​reviews zelf gebruiken je Claude Code/Codex-abonnement of een API-sleutel. Beveiligingsreviewactie: anthropics/claude-code-security-review [pa] AI ਦੁਆਰਾ ਲਿਖੇ ਕੋਡ ਨੂੰ ਪੁਸ਼ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਰਿਵਿਊ ਕਰਨ ਲਈ 3 ਓਪਨ-ਸੋਰਸ ਟੂਲ (Sphinx, OpenQodex) ਗਿੱਟ ਪੁਸ਼ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਸਪਿੰਕਸ ਤੁਹਾਡੇ ਡਿਫ 'ਤੇ ਤੁਹਾਨੂੰ ਪੁੱਛਗਿੱਛ ਕਰਦਾ ਹੈ। ਓਪਨਕਿਊਡੈਕਸ ਤੁਹਾਡੀ ਮਸ਼ੀਨ 'ਤੇ ਸਕੈਨਰਾਂ ਦੇ ਨਾਲ-ਨਾਲ ਇੱਕ ਵੱਖਰਾ ਕਲਾਉਡ ਕੋਡ ਜਾਂ ਕੋਡੈਕਸ ਸਮੀਖਿਅਕ ਚਲਾਉਂਦਾ ਹੈ। ਐਂਥ੍ਰੋਪਿਕ ਦੀ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਕਾਰਵਾਈ ਪੁੱਲ ਬੇਨਤੀ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ। ਨੋਟ: ਸਪਿੰਕਸ ਇੱਕ ਗਲੋਬਲ ਗਿੱਟ ਹੁੱਕ ਸੈੱਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਆ ਕਾਰਵਾਈ ਸਿਰਫ਼ ਭਰੋਸੇਯੋਗ PR ਲਈ ਹੈ, ਇਸ ਲਈ ਪਹਿਲਾਂ ਹਰੇਕ README ਪੜ੍ਹੋ। ਤਿੰਨੋਂ ਓਪਨ ਸੋਰਸ ਹਨ; ਸਮੀਖਿਆਵਾਂ ਖੁਦ ਤੁਹਾਡੇ ਕਲਾਉਡ ਕੋਡ/ਕੋਡੈਕਸ ਯੋਜਨਾ ਜਾਂ ਇੱਕ API ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ। ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਕਾਰਵਾਈ: anthropics/claude-code-security-review [pl] 3 narzędzia open-source do sprawdzania kodu napisanego przez AI przed wypchnięciem go do repozyto... Sphinx sprawdza Twój diff przed wysłaniem git push. OpenQodex uruchamia skanery oraz osobne narzędzie Claude Code lub Codex reviewer na Twoim komputerze. Akcja przeglądu bezpieczeństwa Anthropic sprawdza żądanie ściągnięcia. Uwaga: Sphinx ustawia globalny hook git, a akcja bezpieczeństwa dotyczy tylko zaufanych żądań ściągnięcia (PR), więc najpierw przeczytaj każdy plik README. Wszystkie trzy są open source; same recenzje korzystają z Twojego planu Claude Code/Codex lub klucza API. Akcja przeglądu bezpieczeństwa: anthropics/claude-code-security-review [pt-BR] 3 Ferramentas de Código Aberto para Revisar Códigos Criados por IA Antes do Push (Sphinx, OpenQodex) O Sphinx verifica suas diferenças antes que um push do Git seja processado. O OpenQodex executa verificadores, além de um revisor separado do Claude Code ou Codex em sua máquina. A ação de revisão de segurança do Anthropics verifica a solicitação de pull. Observação: o Sphinx define um gancho Git global e a ação de segurança é apenas para PRs confiáveis, portanto, leia o README de cada um primeiro. Todos os três são de código aberto; as revisões em si usam seu plano Claude Code/Codex ou uma chave de API. Ação de revisão de segurança: anthropics/claude-code-security-review [ru] 3 инструмента с открытым исходным кодом для проверки AI-кода перед пушем (Sphinx, OpenQodex) Sphinx проверяет ваши изменения в репозитории перед отправкой изменений через Git. OpenQodex запускает сканеры, а также отдельный рецензент Claude Code или Codex на вашем компьютере. Проверка безопасности Anthropics проверяет запрос на слияние. Примечание: Sphinx устанавливает глобальный хук Git, и проверка безопасности применяется только к доверенным запросам на слияние, поэтому сначала прочтите каждый README. Все три проекта являются проектами с открытым исходным кодом; сами проверки используют ваш план Claude Code/Codex или ключ API. Проверка безопасности: anthropics/claude-code-security-review [ta] AI எழுதிய குறியீட்டை புஷ் (Push) செய்யும் முன் சரிபார்க்க 3 ஓப்பன் சோர்ஸ் கருவிகள் (Sphinx, OpenQ... ஒரு கிட் புஷ் (git push) வெற்றிகரமாகச் செயல்படுத்தப்படுவதற்கு முன்பு, ஸ்பிங்க்ஸ் (Sphinx) உங்கள் டிஃப் (diff) குறித்து உங்களிடம் வினாக்களை எழுப்புகிறது. ஓப்பன்கோடெக்ஸ் (OpenQodex) உங்கள் கணினியில் ஸ்கேனர்களையும், ஒரு தனியான கிளாட் கோட் (Claude Code) அல்லது கோடெக்ஸ் (Codex) மதிப்பாய்வாளரையும் இயக்குகிறது. ஆந்த்ரோபிக்கின் (Anthropic) பாதுகாப்பு மதிப்பாய்வு நடவடிக்கை, புல் ரிக்வெஸ்ட்டைச் (pull request) சரிபார்க்கிறது. குறிப்பு: ஸ்பிங்க்ஸ் ஒரு உலகளாவிய கிட் ஹூக்கை (global git hook) அமைக்கிறது, மேலும் பாதுகாப்பு நடவடிக்கை நம்பகமான புல் ரிக்வெஸ்ட்டுகளுக்கு (PRs) மட்டுமேயானது. எனவே, முதலில் ஒவ்வொரு ரீட்மீயையும் (README) படிக்கவும். இந்த மூன்றும் ஓப்பன் சோர்ஸ் (open source) ஆகும்; மதிப்பாய்வுகள் உங்கள் கிளாட் கோட்/கோடெக்ஸ் திட்டம் (Claude Code/Codex plan) அல்லது ஒரு ஏபிஐ கீயை (API key) பயன்படுத்துகின்றன. பாதுகாப்பு மதிப்பாய்வு நடவடிக்கை: anthropics/claude-code-security-review [te] AI రాసిన కోడ్‌ను పుష్ చేసే ముందు రివ్యూ చేయడానికి 3 ఓపెన్ సోర్స్ టూల్స్ (Sphinx, OpenQodex) గిట్ పుష్ జరగడానికి ముందు స్ఫింక్స్ మీ డిఫ్ (diff) పై మిమ్మల్ని ప్రశ్నిస్తుంది. ఓపెన్‌కోడెక్స్ (OpenQodex) మీ మెషీన్‌లో స్కానర్‌లతో పాటు ఒక ప్రత్యేక క్లాడ్ కోడ్ లేదా కోడెక్స్ రివ్యూయర్‌ను నడుపుతుంది. ఆంత్రోపిక్స్ యొక్క సెక్యూరిటీ రివ్యూ యాక్షన్ పుల్ రిక్వెస్ట్‌ను తనిఖీ చేస్తుంది. గమనిక: స్ఫింక్స్ ఒక గ్లోబల్ గిట్ హుక్‌ను సెట్ చేస్తుంది, మరియు సెక్యూరిటీ యాక్షన్ కేవలం విశ్వసనీయమైన PRల కోసం మాత్రమే, కాబట్టి ముందుగా ప్రతి READMEని చదవండి. ఈ మూడు కూడా ఓపెన్ సోర్స్; రివ్యూలు మాత్రం మీ క్లాడ్ కోడ్/కోడెక్స్ ప్లాన్ లేదా ఒక API కీని ఉపయోగిస్తాయి. సెక్యూరిటీ రివ్యూ యాక్షన్: anthropics/claude-code-security-review [uk] 3 інструменти з відкритим кодом для перевірки коду, написаного ШІ, перед пушем (Sphinx, OpenQodex) Sphinx перевіряє ваші різниці перед тим, як git push буде завершено. OpenQodex запускає сканери, а також окремий рецензент Claude Code або Codex на вашому комп'ютері. Дія перевірки безпеки Anthropic перевіряє запит на втягування. Примітка: Sphinx встановлює глобальний git-хук, а дія безпеки призначена лише для довірених PR-рецептів, тому спочатку прочитайте кожен README. Усі три файли мають відкритий вихідний код; самі рецензії використовують ваш план Claude Code/Codex або ключ API. Дія перевірки безпеки: anthropics/claude-code-security-review

個人開発者がClaudeでできるセキュリティ対策まとめてみた はじめに 最近、セキュリティの話題を目にすることが増えて、正直なところ不安になりました。自分も個人開発で Claude Code をかなり使っていますが、セキュリティのプロではありません。何から手をつければいいのか分からなかったので、Claude と相談しながら、公式ドキュメントなどの一次情報を確かめてこの記事にまとめました。 実際、2026年は、個人開発者にとっても「セキュリティは他人事」と言いにくい年になっています。 IPA「情報セキュリティ10大脅威 2026」（組織編）では、2位に「サプライチェーンや委託先を狙った攻撃」、3位に「AIの利用をめぐるサイバーリスク」が初選出されました。 npm では大規模なサプライチェーン攻撃が続きました。最近のマルウェアは、npm トークンや GitHub の個人用アクセストークン（PAT）を盗み、正規パッケージを再公開してワームのように広がります。PAT はパスワードの代わりに GitHub を操作するための文字列で、持っていればその人として push やパッケージ公開ができてしまいます。 10月21日には、PHP の認証不要の RCE（php2shell）、 Node.js の10件の脆弱性修正 が同じ日に公開され、直前には 認証局 eMudhra の中間証明書の秘密鍵が求められる状態だった ことも明らかになりました。 10月の3件に共通するのは、「自分が書いたコード」ではなく「自分が動かしているランタイム・証明書ストア・依存関係」が攻撃面になっているという点です。個人開発者は、ローカル、レンタルサーバー、Docker イメージ、CI などで、どこで何のバージョンが動いているかを把握しきれていないことが多いはずです。 この記事では、脆弱性そのものの解説ではなく、個人が自分のローカル環境や開発中のアプリで、Claude（主に Claude Code）を使って実践できる対策を、Anthropic 公式ドキュメント・OWASP・IPA などの一次情報をもとに整理します。個々の脆弱性の詳細は、リンク先や末尾の参考資料を見てください。npm などのパッケージのサプライチェーン対策は、この記事では扱いません。 ! Claude Code の設定キーや挙動はバージョンアップで変わることがあります。本記事は2026年10月25日時点の公式ドキュメントに基づいています。導入前にリンク先で最新情報を確認してください。 全体像：攻撃の入口と3つの対策 図の左側が攻撃の入口です。 攻撃の入口 何が起きるか 狙われる場所 悪意ある文章（Webページ・Issue など） 文章に紛れ込ませた指示で AI を操る（プロンプトインジェクション）。Claude Code が読んだ文章の指示に従い、秘密を送ったり危険なコマンドを実行したりする Claude Code ランタイムの脆弱性（PHP・Node.js・証明書） 古い PHP や Node.js、更新されていない証明書ストアの穴を突かれる 動かしているもの これに加えて、自分のコード（Claude が書いたものも含む）に認可漏れや XSS があれば、それも入口になります。 図の右側の3つの対策を、この順に見ていきます。 ① 設定で縛る：Claude Code 自体を安全に使う 大前提：「お願い」ではなく「設定」で縛る 公式ドキュメント（Configure permissions）には重要な一文があります。 Permission rules are enforced by Claude Code, not by the model. Instructions in your prompt or CLAUDE.md shape what Claude tries to do, but they don't change what Claude Code allows. パーミッションルールを強制するのはモデルではなく Claude Code 本体で、プロンプトや CLAUDE.md の指示は「Claude が何をしようとするか」に影響するだけで、何が許可されるかは変えない、ということです。 CLAUDE.md に「.env は読まないで」と書くだけでは防御になりません。プロンプトインジェクションで指示が上書きされる可能性があるからです。確実に止めるのは Claude Code 本体のパーミッションと OS サンドボックスです。 ! 最近の Claude Code は、対話セッションを Auto モード（別の分類モデルが操作を審査し、危険と判断したものを止める）で始めるのが既定になっています（Security - Claude Code Docs）。Auto モードでも、自分で書いた deny / ask ルールはそのまま有効です。 1-1. パーミッションの deny ルールで秘密ファイルを守る ルールは allow / ask / deny の3種類で、deny → ask → allow の順に評価され、最初に当たったものが結果になります（Configure permissions）。allow で deny に例外を作ることはできません。現在のルールは /permissions で一覧・編集できます。 .claude/settings.json { "permissions": { "deny": [ "Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)" ], "ask": [ "Bash(git push *)" ] } } ! 落とし穴：Read / Edit の deny ルールは、Claude の組み込みファイルツールに加えて、Bash の cat・head・tail・sed などのよく知られたファイルコマンドやリダイレクトにも効きます。しかし、grep -r pattern . のようにファイル名を指定しない読み取りや、Python や Node のスクリプトが自分でファイルを開く場合には効きません。すべてのプロセスから守るには、次の OS サンドボックスを併用します。 通信も同じです。curl や wget のようにWebから取得するコマンドは、既定でも毎回確認が出ます（Security）。二度と使わせたくなければ "Bash(curl *)" のように permissions.deny に入れられます。 ただし、Bash のルールは 「書かれたコマンドの文字列」で判定しているだけ です。次のように別の書き方をされると、中身は同じ「Webからの取得」でも止まりません。 python3 -c "import urllib.request; urllib.request.urlopen('example.com')" deny ルールは「curl という単語」を止め、サンドボックスは「通信そのもの」を止めます。通信先を確実に絞るなら、次のサンドボックスのネットワーク制限を使います。 1-2. OS サンドボックスを有効にする（最重要） まず、Claude がファイルや通信に触れる経路は2つあり、それぞれ止める仕組みが違います。 経路① 組み込みツール（Read・Edit・WebFetch など）：Claude Code 本体の中で動きます。止めるのは 1-1 のパーミッションです。 経路② Bash ツール（cat・npm・python など）：OS のプロセスとして動きます。これを OS レベルで囲うのがサンドボックスです。 「サンドボックスの中」は場所（ディレクトリ）ではなく、Bash ツールから起動したコマンドと、その子プロセスのことです。作業フォルダは、中のプロセスが「書き込んでよい範囲」の基準になっているだけです。逆に、サンドボックスの設定は経路①の Read ツールを止めません（公式にも「denyRead は Read ツールを止めない」とあります）。そのため、秘密のファイルは経路①と②の両方で塞ぎます。 既定ではオフです。セッション内で /sandbox を実行するか、sandbox.enabled を true にします。 macOS / Linux / WSL2 で動作します。ネイティブ Windows ではサンドボックスなしで実行されるため、Windows ユーザーは WSL2 内で Claude Code を動かしましょう。 Linux / WSL2 では bubblewrap と socat が必要です。 図のとおり、有効にしただけでは「読み取り」と「環境変数」は開いたままです。ユーザー設定（~/.claude/settings.json）に次のような設定を入れておくのがおすすめです。 ~/.claude/settings.json { "permissions": { "deny": ["Read(~/.ssh/)", "Read(~/.aws/)"] }, "sandbox": { "enabled": true, "failIfUnavailable": true, "allowUnsandboxedCommands": false, "filesystem": { "denyRead": ["~/**/.env"] }, "network": { "allowedDomains": ["registry.npmjs.org"] }, "credentials": { "files": [ { "path": "~/.ssh", "mode": "deny" }, { "path": "~/.aws/credentials", "mode": "deny" } ], "envVars": [ { "name": "GITHUB_TOKEN", "mode": "deny" }, { "name": "NPM_TOKEN", "mode": "deny" } ] } } } 最初の permissions が経路①、sandbox が経路②の設定です。サンドボックスの図の行ごとに、どの設定で閉じているかを対応させるとこうなります。 図の行 設定 意味 書き込み allowWrite 既定で書けるのは作業フォルダ・一時フォルダ・自分で追加したフォルダだけ。作業フォルダの中でも .claude の設定、.mcp.json、.bashrc、.vscode、.git の hooks などの保護パスは書けない。書き込み先を $PATH のフォルダやシェルの設定ファイルに広げると、別の権限でコードが実行されうると公式が警告している 読み取り filesystem.denyRead ホーム配下のすべての .env を読めなくする。より広い allow があっても維持される 読み取り credentials.files ~/.ssh などを読めなくする。組み込みの拒否リストはないので、守りたいものは自分で列挙する ネットワーク allowedDomains 許可するドメインを最小限にする 環境変数 credentials.envVars トークンを、各コマンドの実行前に環境から消す 逃げ道を塞ぐ failIfUnavailable: true 既定では、依存ツールが足りないなどで起動できないとサンドボックスなしで動いてしまう。true で起動時に止める 逃げ道を塞ぐ allowUnsandboxedCommands: false 失敗したコマンドを外で再実行させない（/sandbox の Overrides タブでは「Strict sandbox mode」）。ユーザー設定で false にすれば、プロジェクト側で true にされても変わらない サンドボックスの外（経路①） permissions.deny の Read(...) 組み込みの Read ツールから読めなくする。サンドボックスの設定ではここは止まらない 許可ドメインは「広すぎない」ように 公式ドキュメントは、github.com のような広いドメインを許可すると情報持ち出しの経路になりうると警告しています。既定のプロキシは TLS の中身を検査しないため、ドメインフロンティングなどで許可リスト外に到達される可能性もあります。必要最小限のドメインだけを許可しましょう。 動作確認の方法も公式に載っています。Claude に次のコマンドを実行させます。 コマンド サンドボックスが効いているときの結果 touch ~/sandbox-probe macOS は Operation not permitted、Linux / WSL2 は Read-only file system curl --noproxy '*' example.com Could not resolve host 図の「サンドボックスの外」にあるとおり、! から自分で打ったコマンドは多くのセッションでサンドボックスの外で動くため、確認になりません。 サンドボックスを使うと困ること 便利さとの引き換えもあります。公式ドキュメントの Limitations に載っている主なものです。 困ること 対処 docker が使えない excludedCommands に docker compose * のように必要なものだけ登録する（そのコマンドは外で、あなたの権限のまま動く） macOS で SSH の git push / pull / fetch が失敗する HTTPS の remote にするか、push は自分で行う Jest の watchman が動かない jest --no-watchman で実行する macOS の open・osascript・ブラウザでの認証が失敗する 自分で実行する macOS で Go 製の CLI（gh・gcloud・terraform）が TLS 検証に失敗することがある 自分で実行するか、公式の回避策を確認する ssh・多くの DB ドライバ・ping など、プロキシを使わない通信はつながらない 許可ドメインに入れても届かない。自分で実行する 許可ドメインが空から始まるので、npm install などが最初はよく失敗する 必要なドメインを1つずつ足す 困ったからといって docker * や github.com を丸ごと許可すると、そこが抜け道になります。外に出すものは最小限にしましょう。公式も「サンドボックスはリスクを減らすが、完全な隔離ではない」としています。 1-3. 信頼できないコンテンツの扱い 悪意ある文章への対策として、Claude Code には承認制、Web ページを別のモデル呼び出しで要約してから渡す仕組み、初めてのフォルダや .mcp.json のサーバーに対する信頼確認などの保護があります。ただし公式自身が「どんなシステムもすべての攻撃に完全に耐えられるわけではない」と明言しています。 公式が挙げている、信頼できないコンテンツを扱う際のベストプラクティスは次の5つです。 提案されたコマンドは承認前にレビューする 信頼できないコンテンツを Claude に直接パイプしない 重要なファイルへの変更は検証する スクリプト実行や外部Webサービスとのやり取りには VM を使う 不審な挙動は /feedback で報告する 加えて、次の点も公式ドキュメントに記載があります。 -p フラグで非対話実行すると、フォルダの信頼確認も .mcp.json の承認も表示されない ホームディレクトリ直下で起動すると信頼の承認が保存されないため、プロジェクトのサブディレクトリから起動する Windows では WebDAV を有効にしたり、\* のようなパスにアクセスさせたりしない（パーミッションを迂回したネットワークリクエストが起きうる） 1-4. MCP サーバーは「誰が作ったか」で選ぶ 公式は、MCP サーバーは自作するか、信頼できる提供元のものを使うよう勧めています。Anthropic は公式ディレクトリに載せる前に掲載基準で審査するものの、MCP サーバーのセキュリティ監査や管理はしていないと明記しています。 GitHub で見つけた便利そうな MCP サーバーを気軽に入れるのは、知らない npm パッケージを入れるのと同じリスクがあると考えましょう。図の「サンドボックスの外」にあるとおり、ローカルの MCP サーバーはあなたの権限のまま動きます。 1-5. 便利さと引き換えにしないもの --dangerously-skip-permissions は、ローカルの普段使いでは避けましょう。 無人で長時間動かしたいなら、dev container やサンドボックス環境の中で Claude Code ごと動かすのが公式のおすすめです。 定期的に /permissions で、「次回から確認しない」で増えた allow ルールを棚卸ししましょう。 ② Claude に点検させる：自分のコードの脆弱性を探す Anthropic は複数のセキュリティレビュー手段を用意しています。働くタイミングで使い分けます。図の番号（2-1〜2-4）は、このあとの節の番号です。 2-1. security-guidance プラグイン（入れておけば自動） /plugin install security-guidance@claude-plugins-official 前提は、PATH 上に Python 3.7 以降があることと、作業フォルダが git リポジトリであることです（公式ドキュメント）。入れたあとは何もしなくても自動で動き、図の3か所でチェックします。 図のラベル 内容 利用量 編集ごと eval(・innerHTML =・pickle などの危険な書き方を文字列で照合 かからない ターンごと そのターンの差分を、別の Claude がセキュリティ観点でレビュー（認可漏れ、IDOR、SSRF など） かかる commit ごと Claude が commit / push したときに、周辺コードまで読んで深くレビュー かかる レビューは、コードを書いた Claude とは別の呼び出し・別のコンテキストで行われます。 プロジェクトに .claude/claude-security-guidance.md を作り、自分のアプリの脅威モデルやレビュー観点を平易な言葉で書いておくと、レビューに反映されます。 .claude/claude-security-guidance.md Security guidance for this repo - 認証が必要なAPIは /api/private 配下。認可チェック漏れを最優先で確認 - ユーザー入力をHTMLに埋め込む箇所は必ずエスケープ - LLMの出力は信頼できない入力として扱う（そのままDB/HTML/シェルに渡さない） - APIキーはサーバー側の環境変数のみ。クライアントバンドルに含めない ! このファイルは「レビュアーへの指針」で、書き込みやコミットを止めるものではありません。どのチェックもブロックはしないので、確実に止めたいものは hooks や CI で別に縛ります。また、自分のシェルで打った commit はレビューされません。 2-2. /security-review（コミット前に自分で実行）と GitHub Action Claude Code でプロジェクトを開き、/security-review を実行するだけです。Anthropic は大きな変更をコミットする前に実行することを勧めています。PR に自動でコメントさせたい場合は GitHub Action（anthropics/claude-code-security-review）を設定できます。 対象は現在のブランチの変更だけなので、既存のコードは「このディレクトリの脆弱性をレビューして」と個別に頼むか、次の Claude Security プラグインを使います。 2-3. Claude Security プラグイン（いつでも深くスキャン） /plugin install claude-security@claude-plugins-official /claude-security アーキテクチャの把握 → 脅威モデル作成 → 脆弱性探索 → 指摘ごとの独立した検証、という多段階のマルチエージェント構成 結果はリポジトリ内の CLAUDE-SECURITY-<timestamp>/ に Markdown・JSONL・SARIF で出力される（ディレクトリに .gitignore が入っているので誤ってコミットされない） パッチは自動適用されない。patches/F1.patch のように出力されるので、自分で読んでから git apply で当てる 前提は、有料プラン・Anthropic API・クラウド経由のいずれかと、Python 3.9 以降です（公式ドキュメント）。Pro プランでは /config の「Dynamic workflows」を有効にする必要があります。スキャンは時間も利用量もかかるので、大きなリポジトリでは API 層や認証まわりなど範囲を絞って実行しましょう。 2-4. AIレビューの限界を知っておく 図の下に書いたとおり、どれもソースコードを読む分析で、結果は毎回変わりうるものです。 動いているサイトを実際に攻撃して確かめるものではありません（security-guidance のドキュメント）。 同じコードでも、実行するたびに指摘が変わりえます（Claude Security のドキュメント）。 Anthropic 自身が「既存のセキュリティ対策や人間のコードレビューを置き換えるものではなく、補うもの」と位置づけています（ヘルプセンター）。 個人開発でも、AIレビュー＋依存関係のスキャン（npm audit や Dependabot など）＋自分の目、の多層で考えるのが現実的です。 ③ 棚卸し・更新・最小権限：ランタイムと自作LLMアプリを守る 3-1. 古い版を Claude に洗い出させる（棚卸し） ランタイムの脆弱性への対策で一番効くのは、「すぐ更新すること」より前の棚卸しです。IPA も PHP の件で、開発・運用しているプログラムのうち PHP を使っているものを棚卸しするよう呼びかけました。ここは Claude Code が得意な領域です。 リポジトリ（または複数プロジェクトをまとめた親フォルダ）で、たとえば次のように頼みます。 このフォルダ配下のプロジェクトについて、セキュリティ更新の棚卸しをしてください。 変更は一切せず、調査と一覧化だけしてください。 1. PHP / Node.js / Python / Go のバージョン指定をすべて洗い出す - Dockerfile の FROM、.nvmrc / .node-version / .tool-versions、 package.json の engines、composer.json の require.php、 GitHub Actions の setup-node / setup-php などのバージョン 2. それぞれ、2026年10月21日のセキュリティリリース （PHP 8.5.12/8.4.27/8.3.36/8.2.35、Node v22.23.4/v24.22.1/v26.12.1） 以上か、サポート終了の系列（PHP 8.1 以前、Node 20 以前）かを判定する 3. 証明書ストアに関わるもののバージョンを確認する （pip と certifi、composer.lock の composer/ca-bundle、Go のツールチェーンなど。 pip は同梱の certifi を常に読むので、pip 自体の版も見る） 4. 結果を「要対応 / 確認が必要 / 問題なし」の表にまとめる 修正版の番号は、PHP 公式、Node.js 公式、eMudhra の件の Python 公式フォーラムと BleepingComputer の一覧によるものです。Node.js 20 はすでにサポートが終了しています。 ポイントは3つです。 「変更しないで」と明示する。更新には互換性の確認が必要なので、まず一覧を自分の目で見てから判断します。①のサンドボックスとパーミッションがあれば、うっかり書き換えられる心配も減ります。 ローカルの実体も確認させる。node -v は PATH 上の1つしか見ません。nvm / fnm などのバージョンマネージャーや、ビルドツールに同梱された Node があると、古い実体が残っていることがあります。 レンタルサーバーやマネージドサービスは事業者の告知で確認する。ディストリビューションや事業者は、上流とは別のバージョン番号のまま修正を取り込む（バックポートする）ことがあり、バージョン番号だけでは修正済みか判断できません。Claude の調査結果だけで判断しないようにしましょう。 棚卸しで「要対応」が出たら、更新用のブランチを切って Claude に作業させ、最後に /security-review と自分のレビューを通す、という流れにすると安全です。Docker イメージはキャッシュなしで再ビルドして再デプロイするのを忘れずに。Go のように証明書の扱いがバイナリに入る言語は、プログラムの再ビルドも必要です。 定期的に棚卸しさせる（更新はしない） 棚卸しは一度で終わりではないので、定期実行に任せると楽です。Claude Code には定期実行の仕組みが3つあり、公式の比較表では次のように違います。 デスクトップの定期タスク クラウドの定期タスク /loop 動く場所 自分の PC クラウド 自分の PC 手元のファイルを見られるか 見られる 見られない（GitHub から複製） 見られる PC を閉じていても動くか 動かない 動く 動かない セッションを開いておく必要 なし なし あり nvm に残った古い Node のような手元の環境まで棚卸ししたいなら、デスクトップの定期タスクが向いています。手順は公式ドキュメントのとおりです。 Claude Desktop の Code タブで Scheduled → New task 名前を付け、指示に上の棚卸しの依頼文をそのまま貼る Advanced settings で Only on this computer をオンにし、対象のフォルダを選ぶ 実行の頻度は Weekly（毎週）などを選ぶ 権限のモードは Manual を選ぶ 作ったら一度 Run now で動かし、読み取りに必要な操作だけ「常に許可」する Manual モードでは、許可していない操作が出てくると、その実行は承認待ちで止まります。「調べるだけ」の操作だけを許可しておけば、勝手にファイルを書き換えられることはありません。結果は、タスクの詳細ページの History から各回のセッションを開いて読みます。 ! デスクトップの定期タスクは、アプリが起動していて PC がスリープしていない間しか動きません。スリープ中で実行できなかった回は、起動したときに直近の1回分だけまとめて実行されます。PC を閉じていても動かしたい場合はクラウドの定期タスク（Pro 以上）を使えますが、見られるのは GitHub 上のリポジトリの中身だけです。 3-2. 自作 LLM アプリは最小権限で：OWASP LLM Top 10 の基本 Claude API や Dify でアプリを作っているなら、OWASP Top 10 for LLM Applications 2025 は必読です。1位はプロンプトインジェクションで、OWASP 自身が「生成AIの性質上、確実に防ぐ方法があるかは不明」という前提で、影響を小さくする対策を挙げています。 Webページの要約や RAG のように外から入る文章をモデルに読ませる機能は、間接プロンプトインジェクションの入口です。「システムプロンプトに『注入を無視して』と書く」だけでは対策にならないので、図の3か所で守ります。 出力を無害化：LLM の出力は信頼できない入力として扱い、エスケープ・検証してから HTML・SQL・シェルへ渡す。そのまま渡すと XSS や SQL インジェクションの原因になる 最小権限：外部APIのトークンはアプリ側に持たせ、DB や API の権限をコード側で絞る。機能はモデルではなくコード側で処理する 人間の承認：メール送信、レコード変更、課金などは自動で実行しない また、2025年版ではシステムプロンプトの漏えいが新たに加わりました。システムプロンプトは漏れる前提で、秘密情報（APIキーや内部URL）を書かないのが基本です。 3-3. Claude API キーの管理 Anthropic のヘルプセンターにあるポイント： APIキーは公開の場、メール、サポートチケットにも書かない（Anthropic とのやり取りでも） コードや設定ファイルに直書きせず、クラウドでは各サービスのシークレット管理機能で渡す ソース管理サービスのシークレットスキャンを有効にし、Gitleaks などでのスキャンも検討する GitHub の公開リポジトリで Claude API キーが見つかると、GitHub から Anthropic に通知され、キーは自動で無効化される 最後の仕組みはありがたいですが、「漏れたら止めてもらえる」だけで、漏れる前に防ぐのは自分の仕事です。.env を .gitignore に入れたかは自分でも確認しましょう。 まとめ：今日からやるチェックリスト ① 設定で縛る サンドボックスを有効にし、逃げ道（failIfUnavailable / allowUnsandboxedCommands）を塞ぐ 秘密のファイルは、経路①（permissions.deny）と経路②（credentials）の両方で塞ぐ MCP サーバーと許可ドメインは最小限に ② Claude に点検させる security-guidance プラグインを入れ、コミット前に /security-review ③ 棚卸し・更新・最小権限 週1回、Claude に棚卸しさせ（変更はさせない）、「要対応」を自分で更新する 自作の LLM アプリは、出力の無害化・最小権限・人間の承認 AIエージェントは「自分の代わりに手を動かしてくれる存在」ですが、同時に「自分の権限で動く存在」でもあります。AIを信頼するかどうかではなく、AIに渡す権限をどう絞るかという視点で設定を見直すのが、個人開発者にとって一番コスパの良い対策だと思います。 おわりに この記事は、セキュリティのプロではない自分が、Claude と相談しながらまとめたものです。まとめてもらう中で、security-guidance プラグインや、Claude に棚卸しをさせる方法などを初めて知りました。 読んで終わりにせず、実際に自分の環境にも設定してみました。プラグインを入れ、手元の環境を棚卸ししてみると、普段は使っていない古い Node.js などが残っているのが見つかり、いくつか対応することができました。 プロでなくても、Claude と一緒なら「何が危ないのか」を調べて、今日できることから手を動かせます。同じように不安を感じている方の、最初の一歩の参考になればうれしいです。 参考資料 Anthropic 公式 Security - Claude Code Docs Configure the sandboxed Bash tool - Claude Code Docs Configure permissions - Claude Code Docs Catch security issues as Claude writes code - Claude Code Docs Scan your codebase for vulnerabilities（Claude Security プラグイン） - Claude Code Docs Schedule recurring tasks in Claude Code Desktop - Claude Code Docs Automate work with scheduled tasks（クラウドの定期タスク） - Claude Code Docs Automated Security Reviews in Claude Code - Claude Help Center anthropics/claude-code-security-review - GitHub API key best practices - Claude Help Center 公的機関・標準 情報セキュリティ10大脅威 2026 - IPA PHPの脆弱性に関する事前の注意喚起 - IPA LLM01:2025 Prompt Injection - OWASP Gen AI Security Project 2026年10月の PHP / Node.js / 中間証明書 PHP 公式サイト（リリース告知・セキュリティアドバイザリ） PHP、重大な脆弱性2件を修正 - gihyo.jp Proof-of-concept exploit released for PHP vulnerabilities - Sophos Node.js October 2026 Security Releases - Node.js Node.js Releases（サポート状況） - Node.js eMudhraの中間CA証明書の秘密鍵の危殆化についてまとめてみた - piyolog Information for Python users regarding eMudhra / emSign CA certificate security incident - Python.org Mozilla, Google, Apple block compromised eMudhra CA certificates - BleepingComputer インドの認証局eMudhraで秘密鍵の欠陥が明らかに - INTERNET Watch npm のサプライチェーン攻撃（本記事では扱わない） The npm Threat Landscape: Attack Surface and Mitigations - Unit 42

7 GitHub Repos That Make Claude WAY More Powerful (100+ Tested) 🔥 I tested 100+ GitHub repositories for Claude, and these are the 7 that actually stood out! From Claude Code skills and AI automation to useful open-source tools, GitHub is packed with projects claiming to make Claude more powerful. But which ones are actually worth your time? In this video, I break down my 7 favorite GitHub repos for Claude, explain what makes each one useful, and share which tools I'd keep in my everyday workflow. No endless lists of random repositories. Just the projects that impressed me the most. 🚀 **IN THIS VIDEO:** ✅ 7 standout GitHub repositories for Claude ✅ Useful tools for improving AI-powered workflows ✅ Claude Code skills, extensions, and productivity ideas ✅ Open-source projects worth exploring in 2026 ✅ What each repository is useful for ✅ Which projects I'd recommend trying first 🔗 **GITHUB REPOSITORIES FEATURED:** 1.Humanizer ai — GitHub link blader/humanizer 2. Apify — GitHub link 🔗github.com/apify 3. Google Workspace CLI — GitHub link🔗 4. Agent Skills — GitHub link 🔗 addyosmani/agent-skills 5. Open SEO — GitHub link 🔗 every-app/open-seo 6. Playwright CLI — GitHub link 🔗 microsoft/playwright-cli 7. Claude-code-security-review — GitHub link 🔗 anthropics/claude-code-security-review 💬 **QUESTION:** What's the one GitHub repository you think every Claude user should know about? Drop it in the comments. I might test it in the next video! Subscribe to BlenderHub for more AI tools, Claude tutorials, open-source projects, and creative workflows. **Topics:** Claude AI, Claude Code, best GitHub repositories for Claude, Claude Code skills, MCP servers, AI coding tools, GitHub tools 2026, AI agents, and productivity. #ClaudeAI #ClaudeCode #GitHub

Setup This New Security Skill Before It's Too Late Agent Engineer Accelerator - switchdim.s.gy I built a Next.js SaaS with 6 security bugs on purpose, three that classic scanners should catch and three of the kind AI coding agents actually write, then ran three rounds of tools against it: Gitleaks and Trivy, Claude Code's built-in /security-review, and Cloudflare's new open-source security-audit skill. Here's which tool caught which bug, what the Cloudflare skill cost to run, why scanners miss the bugs AI writes most, and three practical levels of security you can set up this week. SOCIALS X: x.com LinkedIn: linkedin.com Instagram: instagram.com WORK & COLLABS info@switchdimension.com RESOURCES Cloudflare security-audit skill: cloudflare/security-audit-skill Build your own vulnerability harness (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 write-up: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CHAPTERS 0:00 Intro 0:43 Why AI-Built Apps Break Differently 1:38 Meet Leakcast: 6 Planted Bugs 2:33 Round 1: The Free Scanners 3:35 Round 2: Claude Code's Built-In Review 4:30 Round 3: Cloudflare's Security Skill 6:37 The Control: One Plain Prompt 8:11 The Scoreboard 8:58 Three Levels of Pragmatic Security 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ar] قم بإعداد مهارة الأمان الجديدة هذه قبل فوات الأوان برنامج تسريع مهندسي الذكاء الاصطناعي - switchdim.s.gy قمتُ ببناء منصة برمجية كخدمة (SaaS) باستخدام Next.js، مع تضمين ست ثغرات أمنية عمدًا، ثلاث منها من النوع الذي تكتشفه برامج الفحص التقليدية، وثلاث أخرى من النوع الذي تُنشئه برامج الذكاء الاصطناعي فعليًا. ثم أجريتُ ثلاث جولات من الاختبارات باستخدام أدوات مختلفة: Gitleaks وTrivy، وأداة /security-review المدمجة في Claude Code، ومهارة التدقيق الأمني ​​مفتوحة المصدر الجديدة من Cloudflare. إليكم تفاصيل كل أداة اكتشفت كل ثغرة، وتكلفة تشغيل مهارة Cloudflare، وأسباب عدم اكتشاف برامج الفحص التقليدية للثغرات التي يُنشئها الذكاء الاصطناعي في أغلب الأحيان، وثلاثة مستويات عملية للأمان يُمكنكم تطبيقها هذا الأسبوع. مواقع التواصل الاجتماعي X: x.com LinkedIn: linkedin.com Instagram: instagram.com للعمل والتعاون info@switchdimension.com الموارد Cloudflare: cloudflare/security-audit-skill Cloudflare: blog.cloudflare.com Cloudflare: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy شرح CVE-2025-48757: mattpalmer.io CVE-2025-29927 في Next.js: api.osv.dev شانون: KeygraphHQ/shannon مهارات Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy مرصد موزيلا: developer.mozilla.org الفصول 0:00 مقدمة 0:43 لماذا تتعطل التطبيقات المبنية بالذكاء الاصطناعي بشكل مختلف؟ 1:38 لقاء مع Leakcast: 6 ثغرات مزروعة 2:33 الجولة 3.99999 0.066667 ... [bn] দেরি হওয়ার আগেই এই নতুন সিকিউরিটি স্কিল সেটআপ করুন এজেন্ট ইঞ্জিনিয়ার অ্যাক্সিলারেটর - switchdim.s.gy আমি ইচ্ছাকৃতভাবে ৬টি সিকিউরিটি বাগ সহ একটি Next.js SaaS তৈরি করেছি—এর মধ্যে তিনটি এমন যা সাধারণ স্ক্যানারগুলোর ধরা উচিত এবং বাকি তিনটি এমন ধরনের যা এআই কোডিং এজেন্টরা আসলেই লেখে। এরপর আমি এর উপর তিন দফা টুল চালিয়েছি: Gitleaks ও Trivy, Claude Code-এর বিল্ট-ইন /security-review, এবং Cloudflare-এর নতুন ওপেন-সোর্স security-audit স্কিল। এখানে দেওয়া হলো কোন টুল কোন বাগটি ধরেছে, Cloudflare স্কিলটি চালাতে কত খরচ হয়েছে, এআই-এর লেখা বাগগুলো স্ক্যানাররা কেন ধরতে পারে না, এবং এই সপ্তাহে আপনি সেট আপ করতে পারেন এমন তিনটি কার্যকরী নিরাপত্তা স্তর। সোশ্যাল মিডিয়া X: x.com লিঙ্কডইন: linkedin.com ইনস্টাগ্রাম: instagram.com কাজ ও যৌথ উদ্যোগ info@switchdimension.com রিসোর্স ক্লাউডফ্লেয়ার সিকিউরিটি-অডিট স্কিল: cloudflare/security-audit-skill নিজের ভালনারেবিলিটি হারনেস তৈরি করুন (ক্লাউডফ্লেয়ার): blog.cloudflare.com ক্লড কোড সিকিউরিটি রিভিউ: anthropics/claude-code-security-review গিটলিকস: gitleaks/gitleaks ট্রিভি: aquasecurity/trivy চমৎকার CVE-2025-48757 রাইট-আপ: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org অধ্যায়সমূহ ০:০০ ভূমিকা ০:৪৩ কেন এআই-নির্মিত অ্যাপগুলো ভিন্নভাবে ভেঙে যায় ১:৩৮ লিককাস্টের সাথে পরিচিতি: ৬টি রোপিত বাগ ২:৩৩ পর্ব ১: বিনামূল্যের স্ক্যানারগুলো ৩:৩৫ পর্ব ২: ক্লড কোডের বিল্ট-ইন পর্যালোচনা ৪:৩০ রাউন্ড ৩: ক্লাউডফ্লেয়ারের নিরাপত্তা দক্ষতা ৬:৩৭ নিয়ন্ত্রণ: একটি সাধারণ প্রম্পট ৮:১১ স্কোরবোর্ড ৮:৫৮ বাস্তবসম্মত নিরাপত্তার তিনটি স্তর ১০:৪৮ উপসংহার #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [de-DE] Richte diese neue Sicherheitsfunktion ein, bevor es zu spät ist Agent Engineer Accelerator – switchdim.s.gy Ich habe eine Next.js-SaaS-Anwendung mit absichtlich eingebauten sechs Sicherheitslücken entwickelt: drei, die von klassischen Scannern erkannt werden sollten, und drei, die von KI-gesteuerten Agenten tatsächlich erzeugt werden. Anschließend habe ich drei Testrunden mit verschiedenen Tools durchgeführt: Gitleaks und Trivy, die integrierte Sicherheitsprüfung von Claude Code sowie Cloudflares neue Open-Source-Sicherheitsaudit-Funktion. Hier erfahren Sie, welches Tool welche Sicherheitslücke gefunden hat, welche Kosten die Ausführung der Cloudflare-Funktion verursacht hat, warum Scanner die von KI-gesteuerten Agenten am häufigsten erzeugten Sicherheitslücken übersehen und welche drei praktischen Sicherheitsstufen Sie diese Woche einrichten können. ... SOCIAL MEDIA X: x.com LinkedIn: linkedin.com Instagram: instagram.com ARBEIT & KOOPERATIONEN info@switchdimension.com RESSOURCEN Cloudflare-Sicherheitsaudit-Skill: cloudflare/security-audit-skill Eigene Sicherheitslückenanalyse erstellen (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review GitLeaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757-Beschreibung: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits Skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org KAPITEL 0:00 Einleitung 0:43 Warum KI-gestützte Apps anders funktionieren 1:38 Leakcast: 6 versteckte Sicherheitslücken 2:33 Runde 1: Die kostenlosen Scanner 3:35 Runde 2: Claude Codes integrierte Überprüfung 4:30 Runde 3: Cloudflares Sicherheitskompetenz 6:37 Die Kontrolle: Eine einfache Aufgabe 8:11 Die Punktetafel 8:58 Drei Stufen pragmatischer Sicherheit 10:48 Abspann #KI-Sicherheit #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #KI-Entwicklung #Agentenentwicklung #OWASP #CyberSecurity #GitLeaks [es-US] Configura esta nueva habilidad de seguridad antes de que sea demasiado tarde. Acelerador de Ingenieros de IA - switchdim.s.gy Desarrollé un SaaS con Next.js con intencionadamente 6 vulnerabilidades de seguridad: tres que los escáneres clásicos deberían detectar y tres del tipo que suelen escribir los agentes de codificación de IA. Luego, realicé tres pruebas con diferentes herramientas: Gitleaks y Trivy, la herramienta integrada /security-review de Claude Code y la nueva herramienta de código abierto security-audit de Cloudflare. Aquí te explico qué herramienta detectó cada vulnerabilidad, cuánto costó ejecutar la herramienta de Cloudflare, por qué los escáneres suelen pasar por alto las vulnerabilidades que escribe la IA y tres niveles prácticos de seguridad que puedes configurar esta semana. REDES SOCIALES X: x.com LinkedIn: linkedin.com Instagram: instagram.com TRABAJO Y COLABORACIONES info@switchdimension.com RECURSOS Habilidad de auditoría de seguridad de Cloudflare: cloudflare/security-audit-skill Crea tu propio sistema de análisis de vulnerabilidades (Cloudflare): blog.cloudflare.com Análisis de seguridad de Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Análisis de Lovable sobre CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Habilidades de Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Observatorio de Mozilla: developer.mozilla.org CAPÍTULOS 0:00 Introducción 0:43 Por qué las apps con IA fallan de forma diferente 1:38 Presentamos Leakcast: 6 errores plantados 2:33 Ronda 1: Los escáneres gratuitos 3:35 Ronda 2: Análisis integrado de Claude Code 4:30 Ronda 3: La habilidad de seguridad de Cloudflare 6:37 El control: Un simple mensaje 8:11 El marcador 8:58 Tres niveles de seguridad pragmática 10:48 Despedida #SeguridadIA #ClaudeCode #CursorAI #Cloudflare #NextJS #SeguridadAplicacionesWeb #VibeCoding #SeguridadAplicaciones #DesarrolloIA #DesarrolloDeAgentes #OWASP #Ciberseguridad #Gitleaks [fr-FR] Installez ce nouvel outil de sécurité avant qu'il ne soit trop tard Agent Engineer Accelerator - switchdim.s.gy J'ai développé une application SaaS Next.js avec six failles de sécurité intentionnelles : trois que les scanners classiques détectent et trois du type de celles que les agents de programmation IA écrivent réellement. J'ai ensuite effectué trois séries d'analyses avec différents outils : Gitleaks et Trivy, l'outil intégré `/security-review` de Claude Code et la nouvelle compétence open source `security-audit` de Cloudflare. Voici le résultat : quel outil a détecté quelle faille ? Quel est le coût d'exécution de la compétence Cloudflare ? Pourquoi les scanners passent-ils à côté des failles les plus courantes écrites par l'IA ? Et trois niveaux de sécurité pratiques que vous pouvez mettre en place dès cette semaine ? RÉSEAUX SOCIAUX X : x.com LinkedIn : linkedin.com Instagram : instagram.com PROFESSIONNELLE ET COLLABORATIONS info@switchdimension.com RESSOURCES Compétence d'audit de sécurité Cloudflare : cloudflare/security-audit-skill Créer son propre outil d'analyse des vulnérabilités (Cloudflare) : blog.cloudflare.com Claude Code Security Review : anthropics/claude-code-security-review Gitleaks : gitleaks/gitleaks Trivy : aquasecurity/trivy Article détaillé sur la CVE-2025-48757 : mattpalmer.io Next.js CVE-2025-29927 : api.osv.dev Shannon : KeygraphHQ/shannon Compétences Trail of Bits : trailofbits/skills OWASP ZAP : zaproxy/zaproxy Mozilla Observatory : developer.mozilla.org CHAPITRES 0:00 Introduction 0:43 Pourquoi les applications conçues avec l’IA présentent des dysfonctionnements différents 1:38 Présentation de Leakcast : 6 failles de sécurité 2:33 Manche 1 : Les scanners gratuits 3:35 Manche 2 : Claude Revue intégrée du code 4:30 Manche 3 : Compétences de sécurité de Cloudflare 6:37 Le contrôle : Une simple invite 8:11 Le tableau des scores 8:58 Trois niveaux de sécurité pragmatique 10:48 Conclusion #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [hi] देर होने से पहले इस नई सुरक्षा सुविधा को स्थापित करें एजेंट इंजीनियर एक्सेलेरेटर - switchdim.s.gy मैंने जानबूझकर 6 सुरक्षा बग्स के साथ एक Next.js SaaS बनाया, जिनमें से तीन ऐसे थे जिन्हें क्लासिक स्कैनर पकड़ लेते हैं और तीन ऐसे थे जिन्हें AI कोडिंग एजेंट लिखते हैं। फिर मैंने इस पर तीन तरह के टूल्स चलाए: Gitleaks और Trivy, Claude Code का बिल्ट-इन /security-review और Cloudflare का नया ओपन-सोर्स security-audit स्किल। यहां बताया गया है कि किस टूल ने कौन सा बग पकड़ा, Cloudflare स्किल को चलाने में कितना खर्च आया, स्कैनर AI द्वारा लिखे गए बग्स को क्यों नहीं पकड़ पाते, और सुरक्षा के तीन व्यावहारिक स्तर जिन्हें आप इस सप्ताह सेट अप कर सकते हैं। सोशल मीडिया X: x.com लिंक्डइन: linkedin.com इंस्टाग्राम: instagram.com कार्य और सहयोग info@switchdimension.com संसाधन Cloudflare सुरक्षा-ऑडिट कौशल: cloudflare/security-audit-skill अपनी स्वयं की भेद्यता सुरक्षा प्रणाली बनाएं (Cloudflare): blog.cloudflare.com Claude कोड सुरक्षा समीक्षा: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 का विवरण: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits कौशल: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org अध्याय 0:00 परिचय 0:43 AI-निर्मित ऐप्स अलग-अलग तरीके से क्यों विफल होते हैं 1:38 Leakcast से मिलें: 6 जानबूझकर बनाए गए बग 2:33 पहला दौर: मुफ़्त स्कैनर 3:35 दूसरा दौर 2: क्लाउड कोड की अंतर्निहित समीक्षा 4:30 तीसरा दौर: क्लाउडफ्लेयर का सुरक्षा कौशल 6:37 नियंत्रण: एक सरल प्रॉम्प्ट 8:11 स्कोरबोर्ड 8:58 व्यावहारिक सुरक्षा के तीन स्तर 10:48 समापन #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [id] Pasang Skill Keamanan Baru Ini Sebelum Terlambat Akselerator Insinyur Agen - switchdim.s.gy Saya membangun SaaS Next.js dengan 6 bug keamanan secara sengaja, tiga yang seharusnya ditangkap oleh pemindai klasik dan tiga jenis bug yang sebenarnya ditulis oleh agen pengkodean AI, kemudian menjalankan tiga putaran pengujian dengan berbagai alat: Gitleaks dan Trivy, /security-review bawaan Claude Code, dan skill audit keamanan sumber terbuka baru dari Cloudflare. Berikut adalah alat mana yang menangkap bug mana, berapa biaya menjalankan skill Cloudflare, mengapa pemindai melewatkan bug yang paling sering ditulis oleh AI, dan tiga tingkat keamanan praktis yang dapat Anda siapkan minggu ini. MEDIA SOSIAL X: x.com LinkedIn: linkedin.com Instagram: instagram.com KERJA & KOLABORASI info@switchdimension.com SUMBER DAYA Cloudflare security-audit skill: cloudflare/security-audit-skill Buat sendiri alat pendeteksi kerentanan Anda (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Penjelasan CVE-2025-48757 yang menarik: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Keterampilan Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org BAB 0:00 Pendahuluan 0:43 Mengapa Aplikasi Buatan AI Rusak Secara Berbeda 1:38 Mengenal Leakcast: 6 Bug yang Ditanam 2:33 Babak 1: Pemindai Gratis 3:35 Babak 2: Fitur Bawaan Claude Code Ulasan 4:30 Babak 3: Kemampuan Keamanan Cloudflare 6:37 Kontrol: Satu Perintah Sederhana 8:11 Papan Skor 8:58 Tiga Tingkat Keamanan Pragmatis 10:48 Penutup #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [it] Configura questa nuova competenza di sicurezza prima che sia troppo tardi Acceleratore per ingegneri di agenti - switchdim.s.gy Ho creato un SaaS Next.js con 6 vulnerabilità di sicurezza, tre delle quali dovrebbero essere rilevate dagli scanner classici e tre del tipo che gli agenti di programmazione basati sull'IA scrivono effettivamente. Ho poi eseguito tre cicli di test con diversi strumenti: Gitleaks e Trivy, la funzionalità integrata /security-review di Claude Code e la nuova funzionalità open source di audit di sicurezza di Cloudflare. Ecco quale strumento ha rilevato quale vulnerabilità, quanto è costata l'esecuzione della funzionalità di Cloudflare, perché gli scanner non rilevano le vulnerabilità più comuni scritte dall'IA e tre livelli di sicurezza pratici che puoi impostare questa settimana. SOCIAL X: x.com LinkedIn: linkedin.com Instagram: instagram.com LAVORO E COLLABORAZIONI info@switchdimension.com RISORSE Skill di audit di sicurezza di Cloudflare: cloudflare/security-audit-skill Crea il tuo strumento di analisi delle vulnerabilità (Cloudflare): blog.cloudflare.com Analisi della sicurezza di Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Articolo di Lovable sulla vulnerabilità CVE-2025-48757: Italiano: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Skill di Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CAPITOLI 0:00 Introduzione 0:43 Perché le app basate sull'IA si comportano in modo diverso 1:38 Presentazione di Leakcast: 6 bug nascosti 2:33 Round 1: Gli scanner gratuiti 3:35 Round 2: Revisione integrata di Claude Code 4:30 Round 3: La competenza di sicurezza di Cloudflare 6:37 Il controllo: un semplice prompt 8:11 Il punteggio 8:58 Tre livelli di sicurezza pragmatica 10:48 Conclusione #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [iw] הגדירו את כלי האבטחה החדש הזה לפני שיהיה מאוחר מדי מאיץ מהנדסי סוכנים - switchdim.s.gy בניתי תוכנת SaaS של Next.js עם 6 באגים אבטחה בכוונה, שלושה שסורקים קלאסיים אמורים לתפוס ושלושה סוכני קידוד בינה מלאכותית מהסוג שבאמת כותבים, ואז הרצתי שלושה סבבים של כלים נגדם: Gitleaks ו-Trivy, /security-review המובנה של Claude Code, ומיומנות ביקורת האבטחה החדשה בקוד פתוח של Cloudflare. הנה איזה כלי תפס איזה באג, כמה עלה להפעיל את מיומנות Cloudflare, מדוע סורקים מפספסים את הבאגים שהבינה המלאכותית כותבת הכי הרבה, ושלוש רמות אבטחה מעשיות שתוכלו להגדיר השבוע. מדיה חברתית X: x.com LinkedIn: linkedin.com Instagram: instagram.com עבודה ושיתופי פעולה info@switchdimension.com משאבים כישור ביקורת אבטחה של Cloudflare: cloudflare/security-audit-skill בנה רתמת פגיעויות משלך (Cloudflare): blog.cloudflare.com סקירת אבטחה של Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy כתבה חביבה על CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev שאנון: KeygraphHQ/shannon מיומנויות של Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org פרקים 0:00 מבוא 0:43 מדוע אפליקציות שנבנו על ידי בינה מלאכותית מתקלקלות בצורה שונה 1:38 הכירו את Leakcast: 6 באגים שתלו 2:33 סיבוב 1: הסורקים החינמיים 3:35 סיבוב 2: התכונות המובנות של Claude Code סקירה 4:30 סיבוב 3: מיומנות האבטחה של Cloudflare 6:37 הבקרה: הנחיה פשוטה אחת 8:11 לוח התוצאות 8:58 שלוש רמות של אבטחה פרגמטית 10:48 סיום #אבטחתAI #ClaudeCode #CursorAI #Cloudflare #NextJS #אבטחתאפליקציותWeb #VibeCoding #אבטחתאפליקציות #פיתוחAI #פיתוחסוכנים #OWASP #אבטחתסייבר #Gitleaks [ja] 手遅れになる前にこの新しいセキュリティスキルを導入しよう エージェントエンジニアアクセラレーター - switchdim.s.gy 私は意図的に6つのセキュリティバグを含むNext.js SaaSを構築しました。そのうち3つは従来のセキュリティスキャナーで検出できるはずのバグ、残りの3つはAIコーディングエージェントが実際に記述するタイプのバグです。そして、GitleaksとTrivy、Claude Codeの組み込み機能である/security-review、Cloudflareの新しいオープンソースのsecurity-auditスキルという3つのツールでテストを行いました。どのツールがどのバグを検出したか、Cloudflareスキルの実行コスト、AIが最も多く記述するバグをスキャナーが見逃す理由、そして今週中に設定できる3つの実用的なセキュリティレベルについて解説します。 ソーシャルメディア X: x.com LinkedIn: linkedin.com Instagram: instagram.com 仕事とコラボレーション info@switchdimension.com リソース Cloudflareセキュリティ監査スキル: cloudflare/security-audit-skill 独自の脆弱性ハーネスの構築 (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 解説記事: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits スキル: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org チャプター 0:00 はじめに 0:43 AI で構築されたアプリがなぜ異なる不具合を起こすのか 1:38 Leakcast のご紹介: 6 つの仕掛けられたバグ 2:33 第 1 ラウンド: 無料スキャナー 3:35 第 2 ラウンド: Claude Code の組み込みレビュー 4:30 第3ラウンド：Cloudflareのセキュリティスキル 6:37 コントロール：シンプルなプロンプト 8:11 スコアボード 8:58 実用的なセキュリティの3つのレベル 10:48 エンディング #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #Cyber​​Security #Gitleaks [ko] 늦기 전에 이 새로운 보안 스킬을 설정하세요 에이전트 엔지니어 액셀러레이터 - switchdim.s.gy 일부러 6개의 보안 버그를 포함한 Next.js SaaS를 구축했습니다. 이 중 3개는 기존 스캐너가 잡아낼 수 있는 버그이고, 나머지 3개는 AI 에이전트가 실제로 작성하는 유형의 버그입니다. 그런 다음 Gitleaks와 Trivy, Claude Code의 내장 보안 검토 도구, 그리고 Cloudflare의 새로운 오픈 소스 보안 감사 스킬 등 세 가지 도구를 사용하여 보안 검사를 실행했습니다. 각 도구가 어떤 버그를 잡아냈는지, Cloudflare 스킬 실행 비용은 얼마였는지, 스캐너가 AI가 작성하는 버그를 가장 많이 놓치는 이유는 무엇인지, 그리고 이번 주에 설정할 수 있는 세 가지 실용적인 보안 수준을 소개합니다. 소셜 미디어 X: x.com LinkedIn: linkedin.com Instagram: instagram.com 협업 및 협업 info@switchdimension.com 자료 Cloudflare 보안 감사 스킬: cloudflare/security-audit-skill Cloudflare를 활용한 자체 취약점 탐지 도구 구축: blog.cloudflare.com Claude Code 보안 리뷰: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy CVE-2025-48757 관련 유용한 자료: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits 스킬: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org 목차 0:00 소개 0:43 AI 기반 앱이 다르게 작동하는 이유 1:38 Leakcast 소개: 심어진 6가지 버그 2:33 1라운드: 무료 스캐너 3:35 2라운드: Claude Code의 내장 리뷰 4:30 3라운드: Cloudflare의 보안 스킬 6:37 컨트롤: 하나의 간단한 프롬프트 8:11 점수판 8:58 실용적인 보안의 세 가지 수준 10:48 마무리 #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ml] വൈകുന്നതിന് മുൻപ് ഈ പുതിയ സുരക്ഷാ സംവിധാനം സജ്ജമാക്കൂ ഏജന്റ് എഞ്ചിനീയർ ആക്സിലറേറ്റർ - switchdim.s.gy 6 സുരക്ഷാ ബഗുകൾ ഉപയോഗിച്ച് ഞാൻ ഒരു Next.js SaaS നിർമ്മിച്ചു, അതിൽ ക്ലാസിക് സ്കാനറുകൾ പിടിക്കേണ്ട മൂന്ന് ബഗുകളും യഥാർത്ഥത്തിൽ എഴുതുന്ന തരത്തിലുള്ള മൂന്ന് AI കോഡിംഗ് ഏജന്റുകളും ഉൾപ്പെടുന്നു, തുടർന്ന് അതിനെതിരെ മൂന്ന് റൗണ്ട് ഉപകരണങ്ങൾ പ്രവർത്തിപ്പിച്ചു: Gitleaks ഉം Trivy ഉം, Claude Code-ന്റെ ബിൽറ്റ്-ഇൻ /security-review, Cloudflare-ന്റെ പുതിയ ഓപ്പൺ-സോഴ്‌സ് സുരക്ഷാ-ഓഡിറ്റ് സ്കിൽ. ഏത് ടൂൾ ഏത് ബഗാണ് കണ്ടെത്തിയത്, Cloudflare സ്കിൽ പ്രവർത്തിപ്പിക്കാൻ എത്ര ചിലവാകും, AI ഏറ്റവും കൂടുതൽ എഴുതുന്ന ബഗുകൾ സ്കാനറുകൾ എന്തുകൊണ്ട് നഷ്ടപ്പെടുത്തുന്നു, ഈ ആഴ്ച നിങ്ങൾക്ക് സജ്ജമാക്കാൻ കഴിയുന്ന മൂന്ന് പ്രായോഗിക സുരക്ഷാ തലങ്ങൾ ഇതാ. സോഷ്യൽസ് X: x.com ലിങ്ക്ഡ്ഇൻ: linkedin.com ഇൻസ്റ്റാഗ്രാം: instagram.com വർക്ക് & കോൾലാബ്സ് info@switchdimension.com റിസോഴ്‌സസ് ക്ലൗഡ്‌ഫ്ലെയർ സെക്യൂരിറ്റി-ഓഡിറ്റ് സ്‌കിൽ: cloudflare/security-audit-skill നിങ്ങളുടെ സ്വന്തം വൾനറബിലിറ്റി ഹാർനെസ് നിർമ്മിക്കുക (ക്ലൗഡ്‌ഫ്ലെയർ): blog.cloudflare.com ക്ലോഡ് കോഡ് സെക്യൂരിറ്റി അവലോകനം: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy ലവബിൾ CVE-2025-48757 എഴുത്ത്: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ഷാനൻ: KeygraphHQ/shannon ബിറ്റ്സ് കഴിവുകളുടെ പാത: trailofbits/skills OWASP ZAP: zaproxy/zaproxy മോസില്ല ഒബ്സർവേറ്ററി: developer.mozilla.org ചാപ്റ്ററുകൾ 0:00 ആമുഖം 0:43 AI-ബിൽറ്റ് ആപ്പുകൾ വ്യത്യസ്തമായി തകരാറിലാകുന്നത് എന്തുകൊണ്ട് 1:38 ലീക്ക്കാസ്റ്റിനെ കണ്ടുമുട്ടുക: 6 നട്ടുപിടിപ്പിച്ച ബഗുകൾ 2:33 റൗണ്ട് 1: സൗജന്യ സ്കാനറുകൾ 3:35 റൗണ്ട് 2: ക്ലോഡ് കോഡ്സ് ബിൽറ്റ്-ഇൻ അവലോകനം 4:30 മൂന്നാം റൗണ്ട്: ക്ലൗഡ്ഫ്ലെയറിന്റെ സുരക്ഷാ വൈദഗ്ദ്ധ്യം 6:37 നിയന്ത്രണം: ഒരു പ്ലെയിൻ പ്രോംപ്റ്റ് 8:11 സ്കോർബോർഡ് 8:58 പ്രായോഗിക സുരക്ഷയുടെ മൂന്ന് തലങ്ങൾ 10:48 ഔട്ട്‌റോ #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [nl-NL] Stel deze nieuwe beveiligingsvaardigheid in voordat het te laat is Agent Engineer Accelerator - switchdim.s.gy Ik heb een Next.js SaaS-applicatie gebouwd met opzettelijk 6 beveiligingslekken: drie die klassieke scanners zouden moeten detecteren en drie van het type dat AI-codeeragenten daadwerkelijk schrijven. Vervolgens heb ik drie testrondes uitgevoerd met tools: GitLaks en Trivy, de ingebouwde /security-review van Claude Code en de nieuwe open-source security-audit skill van Cloudflare. Hieronder lees je welke tool welk lekken detecteerde, wat de kosten waren voor het uitvoeren van de Cloudflare skill, waarom scanners de meeste door AI geschreven lekken missen en drie praktische beveiligingsniveaus die je deze week nog kunt instellen. SOCIALE MEDIA X: x.com LinkedIn: linkedin.com Instagram: instagram.com WERK & SAMENWERKINGEN info@switchdimension.com BRONNEN Cloudflare security-audit skill: cloudflare/security-audit-skill Bouw je eigen vulnerability harness (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 write-up: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org HOOFDSTUKKEN 0:00 Intro 0:43 Waarom door AI gebouwde apps anders crashen 1:38 Maak kennis met Leakcast: 6 geplante bugs 2:33 Ronde 1: De gratis scanners 3:35 Ronde 2: Claude Code's Ingebouwde review 4:30 Ronde 3: Cloudflare's beveiligingsvaardigheden 6:37 De controle: één simpele prompt 8:11 Het scorebord 8:58 Drie niveaus van pragmatische beveiliging 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [pa] ਦੇਰ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨਵੀਂ ਸੁਰੱਖਿਆ ਸਕਿੱਲ ਨੂੰ ਸੈੱਟਅੱਪ ਕਰੋ ਏਜੰਟ ਇੰਜੀਨੀਅਰ ਐਕਸਲੇਟਰ - switchdim.s.gy ਮੈਂ ਜਾਣਬੁੱਝ ਕੇ 6 ਸੁਰੱਖਿਆ ਬੱਗਾਂ ਨਾਲ ਇੱਕ Next.js SaaS ਬਣਾਇਆ, ਤਿੰਨ ਉਹ ਜੋ ਕਲਾਸਿਕ ਸਕੈਨਰਾਂ ਨੂੰ ਫੜਨੇ ਚਾਹੀਦੇ ਹਨ ਅਤੇ ਤਿੰਨ ਅਜਿਹੇ AI ਕੋਡਿੰਗ ਏਜੰਟ ਅਸਲ ਵਿੱਚ ਲਿਖਦੇ ਹਨ, ਫਿਰ ਇਸਦੇ ਵਿਰੁੱਧ ਤਿੰਨ ਦੌਰ ਦੇ ਟੂਲ ਚਲਾਏ: Gitleaks ਅਤੇ Trivy, Claude Code ਦਾ ਬਿਲਟ-ਇਨ /security-review, ਅਤੇ Cloudflare ਦਾ ਨਵਾਂ ਓਪਨ-ਸੋਰਸ ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ। ਇੱਥੇ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਕਿਹੜੇ ਟੂਲ ਨੇ ਕਿਹੜਾ ਬੱਗ ਫੜਿਆ, Cloudflare ਹੁਨਰ ਨੂੰ ਚਲਾਉਣ ਲਈ ਕਿੰਨੀ ਕੀਮਤ ਹੈ, ਸਕੈਨਰ AI ਦੁਆਰਾ ਸਭ ਤੋਂ ਵੱਧ ਲਿਖਣ ਵਾਲੇ ਬੱਗਾਂ ਨੂੰ ਕਿਉਂ ਖੁੰਝਾਉਂਦੇ ਹਨ, ਅਤੇ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਵਿਹਾਰਕ ਪੱਧਰ ਜੋ ਤੁਸੀਂ ਇਸ ਹਫ਼ਤੇ ਸੈੱਟ ਕਰ ਸਕਦੇ ਹੋ। ਸਮਾਜਿਕ X: x.com ਲਿੰਕਡਇਨ: linkedin.com ਇੰਸਟਾਗ੍ਰਾਮ: instagram.com ਕੰਮ ਅਤੇ ਸਹਿਯੋਗ info@switchdimension.com ਸਰੋਤ Cloudflare ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ: cloudflare/security-audit-skill ਆਪਣੀ ਖੁਦ ਦੀ ਕਮਜ਼ੋਰੀ ਹਾਰਨੈੱਸ ਬਣਾਓ (Cloudflare): blog.cloudflare.com ਕਲਾਉਡ ਕੋਡ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks ਟ੍ਰਾਈਵੀ: aquasecurity/trivy Lovable CVE-2025-48757 ਲਿਖਣਾ: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ਸ਼ੈਨਨ: KeygraphHQ/shannon ਬਿਟਸ ਹੁਨਰਾਂ ਦਾ ਟ੍ਰੇਲ: trailofbits/skills OWASP ZAP: zaproxy/zaproxy ਮੋਜ਼ੀਲਾ ਆਬਜ਼ਰਵੇਟਰੀ: developer.mozilla.org ਅਧਿਆਇ 0:00 ਜਾਣ-ਪਛਾਣ 0:43 AI-ਬਿਲਟ ਐਪਸ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਕਿਉਂ ਟੁੱਟਦੇ ਹਨ 1:38 ਲੀਕਕਾਸਟ ਨੂੰ ਮਿਲੋ: 6 ਲਗਾਏ ਗਏ ਬੱਗ 2:33 ਰਾਊਂਡ 1: ਮੁਫ਼ਤ ਸਕੈਨਰ 3:35 ਰਾਊਂਡ 2: ਕਲਾਉਡ ਕੋਡ ਦਾ ਬਿਲਟ-ਇਨ ਸਮੀਖਿਆ 4:30 ਰਾਊਂਡ 3: ਕਲਾਉਡਫਲੇਅਰ ਦਾ ਸੁਰੱਖਿਆ ਹੁਨਰ 6:37 ਕੰਟਰੋਲ: ਇੱਕ ਸਾਦਾ ਪ੍ਰੋਂਪਟ 8:11 ਸਕੋਰਬੋਰਡ 8:58 ਵਿਹਾਰਕ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਪੱਧਰ 10:48 ਆਊਟਰੋ #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [pl] Wdróż tę nową umiejętność zabezpieczającą, zanim będzie za późno Agent Engineer Accelerator - switchdim.s.gy Stworzyłem oprogramowanie SaaS Next.js z 6 celowo wykrytymi błędami bezpieczeństwa, z czego 3 powinny być wychwytywane przez klasyczne skanery, a 3 to błędy w kodzie AI, które faktycznie tworzą agenci. Następnie uruchomiłem trzy rundy testów narzędzi: Gitleaks i Trivy, wbudowane narzędzie /security-review Claude'a Code'a oraz nową, otwartą umiejętność audytu bezpieczeństwa Cloudflare. Oto, które narzędzie wykryło który błąd, ile kosztuje uruchomienie umiejętności Cloudflare, dlaczego skanery pomijają błędy najczęściej wykryte przez AI, oraz trzy praktyczne poziomy bezpieczeństwa, które możesz skonfigurować w tym tygodniu. MEDIA SPOŁECZNOŚCIOWE X: x.com LinkedIn: linkedin.com Instagram: instagram.com PRACA I WSPÓŁPRACA info@switchdimension.com ZASOBY Umiejętności audytu bezpieczeństwa Cloudflare: cloudflare/security-audit-skill Zbuduj własną uprząż do wykrywania luk w zabezpieczeniach (Cloudflare): blog.cloudflare.com Przegląd zabezpieczeń Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Uroczy Opis CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits Skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org ROZDZIAŁY 0:00 Wprowadzenie 0:43 Dlaczego aplikacje tworzone przez AI psują się inaczej 1:38 Poznaj Leakcast: 6 Planted Błędy 2:33 Runda 1: Darmowe skanery 3:35 Runda 2: Wbudowana recenzja Claude Code'a 4:30 Runda 3: Umiejętność bezpieczeństwa Cloudflare 6:37 Kontrola: Jeden prosty komunikat 8:11 Tablica wyników 8:58 Trzy poziomy pragmatycznego bezpieczeństwa 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #Cyberbezpieczeństwo #Gitleaks [pt-BR] Configure essa nova habilidade de segurança antes que seja tarde demais Acelerador de Engenheiros de Agentes - switchdim.s.gy Criei um SaaS Next.js com 6 bugs de segurança propositalmente: três que scanners clássicos deveriam detectar e três do tipo que agentes de IA realmente escrevem. Em seguida, executei três rodadas de testes com ferramentas: Gitleaks e Trivy, a ferramenta integrada /security-review do Claude Code e a nova skill de código aberto security-audit da Cloudflare. Aqui está o que você encontra sobre qual ferramenta detectou cada bug, o custo de execução da skill da Cloudflare, por que os scanners não detectam os bugs mais comuns escritos por IA e três níveis práticos de segurança que você pode configurar esta semana. REDES SOCIAIS X: x.com LinkedIn: linkedin.com Instagram: instagram.com TRABALHO E COLABORAÇÕES info@switchdimension.com RECURSOS Habilidade de auditoria de segurança da Cloudflare: cloudflare/security-audit-skill Crie sua própria ferramenta de análise de vulnerabilidades (Cloudflare): blog.cloudflare.com Análise de segurança do Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Análise da vulnerabilidade CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Skills do Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CAPÍTULOS 0:00 Introdução 0:43 Por que os aplicativos criados com IA quebram de forma diferente 1:38 Conheça o Leakcast: 6 bugs plantados 2:33 Rodada 1: Os scanners gratuitos 3:35 Rodada 2: Claude Revisão integrada do Code 4:30 Rodada 3: Habilidade de segurança da Cloudflare 6:37 O controle: um prompt simples 8:11 O placar 8:58 Três níveis de segurança pragmática 10:48 Encerramento #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ru] Настройте этот новый навык безопасности, пока не поздно! Акселератор для инженеров-агентов - switchdim.s.gy Я создал SaaS-приложение на Next.js с шестью уязвимостями безопасности, три из которых должны обнаруживать классические сканеры, а три — те, которые действительно создают агенты ИИ. Затем я протестировал его с помощью трех инструментов: Gitleaks и Trivy, встроенного инструмента /security-review от Claude Code и нового навыка аудита безопасности с открытым исходным кодом от Cloudflare. Вот какой инструмент обнаружил какую уязвимость, сколько стоит запуск навыка Cloudflare, почему сканеры пропускают наиболее часто создаваемые ИИ уязвимости, и три практических уровня безопасности, которые вы можете настроить на этой неделе. СОЦИАЛЬНЫЕ СЕТИ X: x.com LinkedIn: linkedin.com Instagram: instagram.com РАБОТА И СОТРУДНИЧЕСТВО info@switchdimension.com РЕСУРСЫ Навык аудита безопасности Cloudflare: cloudflare/security-audit-skill Создайте свой собственный инструмент для проверки уязвимостей (Cloudflare): blog.cloudflare.com Обзор безопасности кода Клода: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Любимая CVE-2025-48757 Статья: mattpalmer.io CVE-2025-29927 для Next.js: api.osv.dev Шеннон: KeygraphHQ/shannon Навыки Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org РАЗДЕЛЫ 0:00 Вступление 0:43 Почему приложения, созданные с помощью ИИ, ломаются по-разному 1:38 Знакомьтесь, Leakcast: 6 внедренных ошибок 2:33 Раунд 1: Бесплатный Сканеры 3:35 Раунд 2: Обзор встроенных функций Claude Code 4:30 Раунд 3: Навыки безопасности Cloudflare 6:37 Управление: Один простой запрос 8:11 Таблица результатов 8:58 Три уровня прагматичной безопасности 10:48 Заключение #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ta] தாமதமாகும் முன் இந்த புதிய பாதுகாப்புத் திறனை அமைத்துவிடுங்கள் ஏஜென்ட் இன்ஜினியர் ஆக்சிலரேட்டர் - switchdim.s.gy நான் வேண்டுமென்றே 6 பாதுகாப்புப் பிழைகளுடன் ஒரு Next.js SaaS-ஐ உருவாக்கினேன்; அவற்றில் மூன்று, வழக்கமான ஸ்கேனர்களால் கண்டறியக்கூடியவை, மற்ற மூன்று, AI கோடிங் ஏஜென்ட்கள் உண்மையில் எழுதும் வகையைச் சேர்ந்தவை. பின்னர், அதன் மீது மூன்று சுற்றுகளாக கருவிகளை இயக்கினேன்: Gitleaks மற்றும் Trivy, Claude Code-இன் உள்ளமைக்கப்பட்ட /security-review, மற்றும் Cloudflare-இன் புதிய ஓப்பன்-சோர்ஸ் செக்யூரிட்டி-ஆடிட் ஸ்கில். எந்தக் கருவி எந்தப் பிழையைக் கண்டறிந்தது, Cloudflare ஸ்கில்லை இயக்க எவ்வளவு செலவானது, AI எழுதும் பிழைகளை ஸ்கேனர்கள் ஏன் தவறவிடுகின்றன, மற்றும் இந்த வாரம் நீங்கள் அமைக்கக்கூடிய மூன்று நடைமுறைப் பாதுகாப்பு நிலைகள் ஆகியவை இங்கே கொடுக்கப்பட்டுள்ளன. சமூக வலைத்தளங்கள் X: x.com LinkedIn: linkedin.com Instagram: instagram.com பணிகள் மற்றும் கூட்டுப்பணிகள் info@switchdimension.com வளங்கள் Cloudflare security-audit skill: cloudflare/security-audit-skill உங்களுக்கென சொந்த பாதிப்புத் தடுப்பு அமைப்பை உருவாக்குங்கள் (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 பற்றிய விளக்கம்: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ஷானன்: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy மொஸில்லா அப்சர்வேட்டரி: developer.mozilla.org அத்தியாயங்கள் 0:00 அறிமுகம் 0:43 செயற்கை நுண்ணறிவால் உருவாக்கப்பட்ட செயலிகள் ஏன் வித்தியாசமாகச் செயலிழக்கின்றன 1:38 லீக்காஸ்ட்டைச் சந்தியுங்கள்: 6 பதிக்கப்பட்ட பிழைகள் 2:33 சுற்று 1: இலவச ஸ்கேனர்கள் 3:35 சுற்று 2: கிளாட் கோடின் உள்ளமைக்கப்பட்ட மதிப்பாய்வு 4:30 சுற்று 3: கிளவுட்ஃபிளேரின் பாதுகாப்புத் திறன் 6:37 கட்டுப்பாடு: ஒரு எளிய கட்டளை 8:11 மதிப்பெண் பலகை 8:58 நடைமுறைப் பாதுகாப்பின் மூன்று நிலைகள் 10:48 முடிவுரை #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [te] ఆలస్యం కాకముందే ఈ కొత్త భద్రతా నైపుణ్యాన్ని ఏర్పాటు చేసుకోండి ఏజెంట్ ఇంజనీర్ యాక్సిలరేటర్ - switchdim.s.gy నేను ఉద్దేశపూర్వకంగా 6 సెక్యూరిటీ బగ్స్‌తో ఒక Next.js SaaSను రూపొందించాను. వాటిలో మూడు క్లాసిక్ స్కానర్లు పట్టుకోగలిగేవి కాగా, మిగిలిన మూడు AI కోడింగ్ ఏజెంట్లు వాస్తవంగా రాసే రకానికి చెందినవి. ఆ తర్వాత దానిపై మూడు రౌండ్ల టూల్స్‌ను రన్ చేశాను: Gitleaks మరియు Trivy, Claude Code యొక్క అంతర్నిర్మిత /security-review, మరియు Cloudflare యొక్క కొత్త ఓపెన్-సోర్స్ సెక్యూరిటీ-ఆడిట్ స్కిల్. ఏ టూల్ ఏ బగ్‌ను పట్టుకుంది, Cloudflare స్కిల్‌ను రన్ చేయడానికి ఎంత ఖర్చయింది, AI ఎక్కువగా రాసే బగ్స్‌ను స్కానర్లు ఎందుకు మిస్ అవుతాయి, మరియు ఈ వారంలో మీరు సెటప్ చేసుకోగల మూడు ఆచరణాత్మక భద్రతా స్థాయిల వివరాలు ఇక్కడ ఉన్నాయి. సోషల్ మీడియా X: x.com లింక్డ్‌ఇన్: linkedin.com ఇన్‌స్టాగ్రామ్: instagram.com పని & సహకారాలు info@switchdimension.com వనరులు క్లౌడ్‌ఫ్లేర్ సెక్యూరిటీ-ఆడిట్ స్కిల్: cloudflare/security-audit-skill మీ స్వంత వల్నరబిలిటీ హార్నెస్‌ను రూపొందించుకోండి (క్లౌడ్‌ఫ్లేర్): blog.cloudflare.com క్లాడ్ కోడ్ సెక్యూరిటీ రివ్యూ: anthropics/claude-code-security-review గిట్‌లీక్స్: gitleaks/gitleaks ట్రివీ: aquasecurity/trivy లవబుల్ CVE-2025-48757 రైట్-అప్: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev షానన్: KeygraphHQ/shannon ట్రైల్ ఆఫ్ బిట్స్ నైపుణ్యాలు: trailofbits/skills OWASP ZAP: zaproxy/zaproxy మొజిల్లా అబ్జర్వేటరీ: developer.mozilla.org అధ్యాయాలు 0:00 పరిచయం 0:43 AI-నిర్మిత యాప్‌లు ఎందుకు విభిన్నంగా విఫలమవుతాయి 1:38 లీక్‌కాస్ట్‌ను కలవండి: 6 ప్లాంటెడ్ బగ్స్ 2:33 రౌండ్ 1: ఉచిత స్కానర్లు 3:35 రౌండ్ 2: క్లాడ్ కోడ్ యొక్క అంతర్నిర్మిత సమీక్ష 4:30 రౌండ్ 3: క్లౌడ్‌ఫ్లేర్ యొక్క భద్రతా నైపుణ్యం 6:37 నియంత్రణ: ఒక సాధారణ ప్రాంప్ట్ 8:11 స్కోర్‌బోర్డ్ 8:58 ఆచరణాత్మక భద్రత యొక్క మూడు స్థాయిలు 10:48 ముగింపు #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [uk] Налаштуйте цю нову функцію безпеки, поки не стало надто пізно Прискорювач роботи з інженерами-агентами - switchdim.s.gy Я спеціально створив Next.js SaaS з 6 помилками безпеки: трьома, які повинні виявляти класичні сканери, і трьома, які насправді пишуть агенти кодування на основі штучного інтелекту, а потім провів проти нього три раунди інструментів: Gitleaks та Trivy, вбудований /security-review від Claude Code та новий навик Cloudflare з відкритим кодом для аудиту безпеки. Ось який інструмент виявив яку помилку, скільки коштувало запустити навик Cloudflare, чому сканери найчастіше пропускають помилки, які пише штучний інтелект, і три практичні рівні безпеки, які ви можете налаштувати цього тижня. СОЦІАЛЬНІ МЕРЕЖІ X: x.com LinkedIn: linkedin.com Instagram: instagram.com РОБОТА ТА СПІВПРАЦЯ info@switchdimension.com РЕСУРСИ Навички аудиту безпеки Cloudflare: cloudflare/security-audit-skill Створіть власний інструмент для виявлення вразливостей (Cloudflare): blog.cloudflare.com Огляд безпеки Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Чудовий опис CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Шеннон: KeygraphHQ/shannon Навички Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org РОЗДІЛИ 0:00 Вступ 0:43 Чому програми, створені на основі штучного інтелекту, ламаються по-різному 1:38 Знайомство з Leakcast: 6 підмічених помилок 2:33 Раунд 1: Безкоштовні сканери 3:35 Раунд 2: Вбудовані функції Клода Кода Огляд 4:30 Раунд 3: Навички безпеки Cloudflare 6:37 Контроль: Одна проста підказка 8:11 Табло результатів 8:58 Три рівні прагматичної безпеки 10:48 Заключна частина #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks

Testei +100 Repositórios pro Claude. Esses 7 São os Melhores Neste vídeo, eu mostro 7 repositórios gratuitos do GitHub que deixam o Claude Code até 10x melhor. 🤖 Implemente IA na sua Empresa/Negócio: matheusfonseca.bio 🤝 Inscreva-se para o meu Acompanhamento Individual: matheusfonseca.bio 🎬 Aprenda a Editar Vídeos Com IA: maquinadeedicao.com.br 🟣 Aprenda a Vender IA para Empresas/Negócios: automatorsclub.com.br 💬 Comunidade de Networking Gratuita no Whatsapp: chat.whatsapp.com 📩 Converse Diretamente Comigo no Instagram: instagram.com 🔗 Links Do Vídeo: 🔹 Claude Security: anthropics/claude-code-security-review 🔹 Google Workspace CLI: googleworkspace/cli 🔹 OpenSEO: every-app/open-seo 🔹 REA: morluto/rea 🔹 Playwright CLI: microsoft/playwright-cli 🔹 HyperFrames: heygen-com/hyperframes 🔹 Superpowers: obra/superpowers ⏱️ TIMESTAMPS 00:00 - Introdução 00:44 - Claude Security 01:11 - Google Workspace CLI 01:58 - OpenSEO 02:17 - REA 02:42 - Playwright CLI 03:28 - HyperFrames 04:35 - Superpowers 05:24 - RECADO IMPORTANTE #ClaudeCode #claude #inteligenciaartificial #ia [en-US] I Tested 100+ Claude Repositories. These 7 Are the Best In this video, I show you 7 free GitHub repositories that make Claude Code up to 10x better. 🤖 Implement AI in your Company/Business: matheusfonseca.bio 🤝 Sign up for my Individual Mentorship: matheusfonseca.bio 🎬 Learn to Edit Videos with AI: maquinadeedicao.com.br 🟣 Learn to Sell AI to Companies/Businesses: automatorsclub.com.br 💬 Free Networking Community on Whatsapp: chat.whatsapp.com 📩 Chat Directly with Me on Instagram: instagram.com 🔗 Video Links: 🔹 Claude Security: anthropics/claude-code-security-review 🔹 Google Workspace CLI: googleworkspace/cli 🔹 OpenSEO: every-app/open-seo 🔹 REA: morluto/rea 🔹 Playwright CLI: microsoft/playwright-cli 🔹 HyperFrames: heygen-com/hyperframes 🔹 Superpowers: obra/superpowers ⏱️ TIMESTAMPS 00:00 - Introduction 00:44 - Claude Security 01:11 - Google Workspace CLI 01:58 - OpenSEO 02:17 - REA 02:42 - Playwright CLI 03:28 - HyperFrames 04:35 - Superpowers 05:24 - IMPORTANT MESSAGE #ClaudeCode #claude #inteligenciaartificial #ia