/ الدليل / الملعب / Trail of Bits Skills
● مجتمع trailofbits ⚡ فوري

Trail of Bits Skills

بواسطة trailofbits · trailofbits/skills

مهارات Claude Code من Trail of Bits لمراجعة كود الأمان وكشف الثغرات وتدفقات التدقيق الدفاعية.

غلّفت شركة الأمن Trail of Bits كتيبات مراجعة الكود الداخلية لديها كمهارات Claude Code. التغطية تشمل كشف الثغرات الشائعة عبر اللغات، اصطياد أخطاء التشفير، مراجعة التحقق من المدخلات، وفحص أخطاء تهيئة IaC. مرخَّص CC-BY-SA-4.0 — مجاني للاستخدام والتكييف.

لماذا تستخدمه

الميزات الأساسية

عرض مباشر

كيف يبدو في الممارسة

جاهز

التثبيت

اختر العميل

~/Library/Application Support/Claude/claude_desktop_config.json  · Windows: %APPDATA%\Claude\claude_desktop_config.json
{
  "mcpServers": {
    "trailofbits-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/trailofbits/skills",
        "~/.claude/skills/skills"
      ],
      "_inferred": true
    }
  }
}

افتح Claude Desktop → Settings → Developer → Edit Config. أعد التشغيل بعد الحفظ.

~/.cursor/mcp.json · .cursor/mcp.json
{
  "mcpServers": {
    "trailofbits-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/trailofbits/skills",
        "~/.claude/skills/skills"
      ],
      "_inferred": true
    }
  }
}

يستخدم Cursor نفس مخطط mcpServers مثل Claude Desktop. إعدادات المشروع أولى من الإعدادات العامة.

VS Code → Cline → MCP Servers → Edit
{
  "mcpServers": {
    "trailofbits-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/trailofbits/skills",
        "~/.claude/skills/skills"
      ],
      "_inferred": true
    }
  }
}

انقر على أيقونة MCP Servers في شريط Cline الجانبي، ثم "Edit Configuration".

~/.codeium/windsurf/mcp_config.json
{
  "mcpServers": {
    "trailofbits-skill": {
      "command": "git",
      "args": [
        "clone",
        "https://github.com/trailofbits/skills",
        "~/.claude/skills/skills"
      ],
      "_inferred": true
    }
  }
}

نفس الصيغة مثل Claude Desktop. أعد تشغيل Windsurf لتطبيق التغييرات.

~/.continue/config.json
{
  "mcpServers": [
    {
      "name": "trailofbits-skill",
      "command": "git",
      "args": [
        "clone",
        "https://github.com/trailofbits/skills",
        "~/.claude/skills/skills"
      ]
    }
  ]
}

يستخدم Continue مصفوفة من كائنات الخادم بدلاً من خريطة.

~/.config/zed/settings.json
{
  "context_servers": {
    "trailofbits-skill": {
      "command": {
        "path": "git",
        "args": [
          "clone",
          "https://github.com/trailofbits/skills",
          "~/.claude/skills/skills"
        ]
      }
    }
  }
}

أضف إلى context_servers. يعيد Zed التحميل تلقائيًا عند الحفظ.

claude mcp add trailofbits-skill -- git clone https://github.com/trailofbits/skills ~/.claude/skills/skills

أمر من سطر واحد. تحقق باستخدام claude mcp list. احذف باستخدام claude mcp remove.

حالات الاستخدام

استخدامات عملية: Trail of Bits Skills

أضف مراجعة أمنية لكل PR

👤 الفرق بلا مهندس أمن مخصص ⏱ ~30 min intermediate

متى تستخدمه: PRs-ك تنتقل حاليًا مباشرةً من مراجعة الكود إلى الدمج — بلا عيون أمنية.

المتطلبات الأساسية
  • المهارات مثبَّتة — git clone https://github.com/trailofbits/skills ~/.claude/skills/trailofbits
الخطوات
  1. تحديد نطاق الـ diff
    استخدم مهارة trailofbits/pr-review على PR الحالي. أدرج الملفات التي تراها المهارة ذات صلة أمنيًا مع الأسباب.✓ تم النسخ
    → أسباب صلة ملموسة لكل ملف
  2. المراجعة العميقة
    لكل ملف مُعلَّم، شغّل مهارة النطاق المناسبة (تشفير، التحقق من المدخلات، مصادقة). أبلغ عن النتائج مع الخطورة.✓ تم النسخ
    → قائمة مرتبة حسب الخطورة مع مراجع الكود
  3. الملخص للمراجع
    اكتب تعليق PR من 5 نقاط يلخّص النتائج، غير مخيف لكن دقيق.✓ تم النسخ
    → ملخص مناسب للمراجع مع استشهادات سطر دقيقة

النتيجة: تعليق مراجعة أمنية على كل PR يصطاد مشكلات حقيقية دون إغراقك في إيجابيات كاذبة.

المزالق
  • المهارة تُعلّم مشكلات أسلوب كمشكلات أمن — اضبط بالـ prompt: «ركّز على المشكلات القابلة للاستغلال فقط»
اجمعها مع: github · filesystem

تدقيق مسارات كود التشفير في خدمة

👤 المطورون المسؤولون عن كود المصادقة/التشفير ⏱ ~90 min advanced

متى تستخدمه: لديك طبقة JWT/HMAC/تشفير وتريد من شخص متمكّن التحقق منها.

الخطوات
  1. البحث عن التشفير
    استخدم trailofbits/crypto-review. امسح /src بحثًا عن ملفات تلمس APIs التشفير. أبلغ عنها.✓ تم النسخ
    → جرد مواقع استدعاء التشفير
  2. تدقيق كل موقع
    لكل موقع: ما الخوارزمية؟ إدارة المفاتيح؟ خطر إعادة استخدام Nonce؟ التعامل مع IV؟ استشهد بالمصدر.✓ تم النسخ
    → تدقيق لكل موقع مع مراجع الكود
  3. خطة المعالجة
    لأي نتيجة متوسطة أو أعلى، أنشئ معالجةً — تغيير كود ملموس، لا «فكّر في استخدام...».✓ تم النسخ
    → diffs قابلة للتطبيق لا نصائح مبهمة

النتيجة: تقرير تدقيق تشفير مع إصلاحات ملموسة، من خط أساس الأخطاء الشائعة التي رأتها ToB في تعاملات حقيقية.

المزالق
  • ليس بديلًا عن تدقيق حقيقي — استخدم للمراجعة الذاتية؛ وظّف محترفين قبل إطلاق أسطح عالية القيمة
اجمعها مع: github

التركيبات

اجمعها مع خوادم MCP أخرى لتحقيق نتائج x10

trailofbits-skill + github

انشر النتائج كتعليق مراجعة PR

انشر المراجعة كتعليق PR — الخطورات كتصنيفات.✓ تم النسخ
trailofbits-skill + filesystem

امسح المستودع بالكامل بلا اتصال

شغّل الفحص الأمني الكامل عبر /src واكتب التقرير في /audit/report.md.✓ تم النسخ

الأدوات

ما يوفره هذا الـ MCP

الأداةالمدخلاتمتى تستدعيهاالتكلفة
scope_review diff|path قبل التعمق 0
crypto_review path كود التشفير تحديدًا 0
input_validation_review path كود API/الحدود 0
iac_review path Terraform / CloudFormation / K8s manifests 0

التكلفة والحدود

تكلفة التشغيل

حصة API
N/A
الرموز لكل استدعاء
المراجعة قراءة مكثفة؛ الميزانية تتناسب مع حجم الـ diff
التكلفة المالية
مجاني (CC-BY-SA)
نصيحة
حدّد النطاق أولًا — لا تُشغّل مهارات عميقة على ملفات غير ذات صلة

الأمان

الصلاحيات والأسرار ونطاق الأثر

الحد الأدنى من الصلاحيات: filesystem-read
تخزين بيانات الاعتماد: لا شيء
نقل البيانات الخارجي: لا شيء من المهارة؛ الكود المراجَع في سياق LLM-ك
لا تمنح أبدًا: write access unless auto-remediating

استكشاف الأخطاء

الأخطاء الشائعة وحلولها

المهارة تُعلّم كودًا آمنًا كثغرة

اطلب المبرر؛ إن كان ضعيفًا، ارفضه بسبب. التضبيط يتحسن عبر الجلسات.

تفوت أخطاء واضحة

المهارة تُقنّن أنماط Trail of Bits — إن كانت مكدستك غير معتادة (مثلًا Rust crate نادر)، قد تفوّت. أضف أنماطًا مخصصة.

المخرجات طويلة جدًا للمراجعة

قيّد: «أعلى 5 نتائج خطورةً فقط»

البدائل

Trail of Bits Skills مقابل البدائل

البديلمتى تستخدمهاالمقايضة
Semgrep rulesتريد تحليلًا ثابتًا في CI، لا مراجعة تفاعليةمجموعة أنماط أضيق؛ لا استدلال LLM
CodeQLتريد تحليل تدفق بيانات عميقًاإعداد أكثر بكثير؛ ليست مهارة

المزيد

الموارد

📖 اقرأ ملف README الرسمي على GitHub

🐙 تصفح القضايا المفتوحة

🔍 تصفح أكثر من 400 خادم MCP و Skills