Trail of Bits Skills

Name: Trail of Bits Skills (Claude Skill)
Author: trailofbits

为什么要用

核心特性

由安全公司编写，而非爱好者——模式来自真实事故
覆盖 C/C++、Rust、Solidity、Python、Go、TypeScript
纯防御性：审计/审查流程，不含攻击性工具
模块化——可单独引用某个 skill，不必采用整个包
CC-BY-SA-4.0 许可证，使用需署名

实时演示

实际使用效果

就绪

安装

作者仓库 · Claude Skills 官方文档

使用场景

实战用法： Trail of Bits Skills

为每个 PR 增加安全审查环节

👤 没有专职安全工程师的团队 ⏱ ~30 min intermediate

何时使用： 你的 PR 目前是从代码审查直接合并——没有人做安全把关。

步骤

界定 diff 范围

对当前 PR 使用 trailofbits/pr-review skill。列出 skill 认为与安全相关的文件及理由。✓ 已复制

→ 逐文件的相关性理由，具体可查
深度审查

对每个标记文件，运行对应的领域 skill（crypto、input-validation、auth）。报告发现及严重程度。✓ 已复制

→ 按严重程度排序的清单，附代码引用
为审查者写摘要

写一条 5 条要点的 PR 评论，总结发现内容，不要让人恐慌，但要精确。✓ 已复制

→ 对审查者友好的摘要，附精确行号引用

结果： 每个 PR 都有安全审查评论，捕获真实问题，不会淹没在误报里。

注意事项

Skill 把代码风格问题标记为安全问题 — 通过 prompt 校准：「只关注可被利用的问题」

搭配使用： github · filesystem

审计服务中的加密代码路径

👤 维护认证/加密代码的开发者 ⏱ ~90 min advanced

何时使用： 你有一个 JWT/HMAC/加密层，想让专业的人再检查一遍。

步骤

定位加密代码

使用 trailofbits/crypto-review。扫描 /src 中涉及加密 API 的文件。报告结果。✓ 已复制

→ 加密调用点清单
逐一审计

对每处调用：用了什么算法？密钥如何管理？有 nonce 重用风险吗？IV 如何处理？引用源码。✓ 已复制

→ 逐处审计，附代码引用
修复计划

对每个中等及以上级别的发现，起草修复方案——具体的代码改动，而非「考虑使用……」。✓ 已复制

→ 可落地的 diff，不是模糊建议

结果： 一份附具体修复方案的加密审计报告，基准来自 ToB 在真实项目中见过的常见错误。

注意事项

这不能替代真正的安全审计 — 用于自查；高价值表面上线前还是要请专业人员

搭配使用： github

组合

与其他 MCP 搭配，撬动十倍杠杆

trailofbits-skill + github

将发现以 PR 审查评论的形式发布

将审查结果以 PR 评论发布——严重程度作为标签。✓ 已复制

trailofbits-skill + filesystem

离线扫描整个仓库

对 /src 做全面安全扫描，报告写入 /audit/report.md。✓ 已复制

工具

此 MCP 暴露的能力

工具	输入参数	何时调用
scope_review	diff\|path	深度审查前的范围界定
crypto_review	path	专门针对加密代码
input_validation_review	path	API/边界代码
iac_review	path	Terraform / CloudFormation / K8s 清单

成本与限制

运行它的成本

API 配额: N/A
每次调用 Token 数: 审查是读取密集型的；预算与 diff 大小成正比
费用: 免费（CC-BY-SA）
提示: 先界定范围——不要对无关文件运行深度 skill

安全

权限、密钥、影响范围

最小权限： filesystem-read

凭据存储： 无

数据出站： skill 本身不外传数据；被审查的代码在你的 LLM 上下文中

切勿授予： write access unless auto-remediating

不能替代正式安全审计——用它在花钱请专家之前捕获显而易见的问题

故障排查

常见错误与修复

Skill flags safe code as vulnerable

要求说明理由；如果理由站不住脚，明确说明原因后忽略。校准效果会随会话改善。

Misses obvious bugs

Skill 编码了 Trail of Bits 的模式——如果你的技术栈比较冷门（如小众 Rust crate），可能会遗漏。添加自定义模式。

Outputs too long to review

加限制条件：「只报告前 5 个最高严重程度的发现」

替代方案