● Community
trailofbits
⚡ Sofort
Trail of Bits Skills
von trailofbits · trailofbits/skills
Trail of Bits' Claude Code Skills für Security-Code-Reviews, Schwachstellenerkennung und defensive Audit-Workflows.
Die Sicherheitsfirma Trail of Bits hat ihre internen Code-Review-Playbooks als Claude Code Skills verpackt. Abdeckung: Erkennung häufiger Schwachstellen in mehreren Sprachen, Crypto-Fehler, Eingabevalidierungsprüfung und IaC-Fehlkonfigurations-Checks. CC-BY-SA-4.0 — frei nutzbar und anpassbar.
Warum nutzen
Hauptfunktionen
- Von einer Sicherheitsfirma geschrieben, nicht von einem Hobby-Entwickler — Muster spiegeln echte Vorfälle wider
- Abdeckung: C/C++, Rust, Solidity, Python, Go, TypeScript
- Ausschließlich defensiv: Audit-/Review-Workflows, keine Offensivtools
- Modular — einzelne Skills übernehmen, ohne das ganze Bundle zu adoptieren
- CC-BY-SA-4.0 lizenziert, Namensnennung erforderlich
Live-Demo
In der Praxis
bereit
Anwendungsfälle
Praxisnahe Nutzung: Trail of Bits Skills
Wann einsetzen: Deine PRs gehen momentan direkt von Code-Review in den Merge — ohne Security-Blick.
Ablauf
-
Diff eingrenzen
Den trailofbits/pr-review Skill auf den aktuellen PR anwenden. Dateien auflisten, die der Skill für sicherheitsrelevant hält, mit Begründungen.✓ Kopiert
→ Konkrete dateiweise Relevanzgründe
-
Tiefgreifender Review
Für jede markierte Datei den passenden Domain-Skill ausführen (Crypto, Eingabevalidierung, Auth). Befunde mit Schweregrad berichten.✓ Kopiert
→ Nach Schweregrad sortierte Liste mit Code-Referenzen
-
Zusammenfassung für Reviewer
Einen 5-Punkt-PR-Kommentar mit den Befunden schreiben — sachlich, nicht alarmistisch, aber präzise.✓ Kopiert
→ Reviewer-freundliche Zusammenfassung mit genauen Zeilennummern
Ergebnis: Ein Security-Review-Kommentar bei jedem PR, der echte Probleme findet, ohne in False Positives zu ertrinken.
Fallstricke
- Skill markiert Stil-Probleme als Sicherheitsprobleme — Kalibrieren durch Prompt: „focus on exploitable issues only“
Wann einsetzen: Du hast einen JWT/HMAC/Verschlüsselungs-Layer und willst, dass jemand Kompetentes drüber schaut.
Ablauf
-
Crypto finden
trailofbits/crypto-review nutzen. /src nach Dateien scannen, die Crypto-APIs berühren. Berichten.✓ Kopiert
→ Inventar der Crypto-Aufrufstellen
-
Jede prüfen
Für jede Stelle: Welcher Algorithmus? Key-Management? Nonce-Wiederverwendungsrisiko? IV-Handling? Quelle zitieren.✓ Kopiert
→ Stellenweises Audit mit Code-Referenzen
-
Behebungsplan
Für jeden mittel- oder höhergewichteten Befund eine konkrete Behebung entwerfen — echte Code-Änderung, kein „consider using ...“.✓ Kopiert
→ Anwendbare Diffs, keine vagen Ratschläge
Ergebnis: Ein Crypto-Audit-Bericht mit konkreten Fixes, basierend auf häufigen Fehlern, die ToB in echten Engagements gesehen hat.
Fallstricke
- Kein Ersatz für ein echtes Audit — Für Selbst-Review nutzen; vor dem Launch hochwertiger Flächen Profis beauftragen
Kombinationen
Mit anderen MCPs für 10-fache Wirkung
Befunde als PR-Review-Kommentar posten
Review als PR-Kommentar posten — Schweregrade als Labels.✓ Kopiert
Das gesamte Repo offline scannen
Vollständigen Security-Sweep über /src ausführen und Bericht in /audit/report.md schreiben.✓ Kopiert
Kosten & Limits
Was der Betrieb kostet
- API-Kontingent
- k. A.
- Tokens pro Aufruf
- Review ist leseintensiv; Budget proportional zur Diff-Größe
- Kosten in €
- Kostenlos (CC-BY-SA)
- Tipp
- Zuerst eingrenzen — keine tiefen Skills auf irrelevante Dateien anwenden
Sicherheit
Rechte, Secrets, Reichweite
Minimale Scopes: filesystem-read
Credential-Speicherung: Keine
Datenabfluss: Keine vom Skill; überprüfter Code ist in deinem LLM-Kontext
Niemals gewähren: write access unless auto-remediating
- Kein Ersatz für ein formelles Security-Audit — damit das Offensichtliche abfangen, bevor man für Experten bezahlt
Fehlerbehebung
Häufige Fehler und Lösungen
Skill markiert sicheren Code als anfällig
Um Begründung bitten; falls schwach, mit Grund ablehnen. Kalibrierung verbessert sich über Sessions.
Offensichtliche Bugs werden übersehen
Der Skill kodiert Trail of Bits-Muster — bei ungewöhnlichen Stacks (z. B. Nischen-Rust-Crates) können Fehler auftreten. Eigene Muster hinzufügen.
Ausgaben zu lang zum Reviewen
Eingrenzen: „top 5 highest-severity findings only“
Alternativen
Trail of Bits Skills vs. andere
| Alternative | Wann stattdessen | Kompromiss |
|---|
| Semgrep rules | Du willst statische Analyse in CI, nicht interaktiven Review | Schmalerer Mustersatz; kein LLM-Reasoning |
| CodeQL | Du willst tiefe Datenflusanalyse | Deutlich mehr Setup; kein Skill |