owasp/secure-agent-playbookمشروع دليل الوكيل الآمن OWASP
دليل أمني مفتوح المصدر لوكلاء الذكاء الاصطناعي. إجراءات منظمة مستندة إلى OWASP تُمكّن الوكلاء من أداء مهام هندسة الأمن — من مراجعة الكود إلى تدقيق أمن وكلاء الذكاء الاصطناعي.
بدون دليل، فإن مطالبة وكيل ذكاء اصطناعي بـ"مراجعة الكود الخاص بي من ناحية الأمن" تمنحك قائمة تحقق سطحية. مع هذه المسرحيات، يتبع الوكيل إجراءً منظمًا مستندًا إلى OWASP — يختبر بشكل منهجي كل فئة من فئات الثغرات، ويُنتج نتائج مع تعيينات CWE، ومراجع متقاطعة OpenCRE، ومقتطفات أدلة، وكود معالجة محدد.
هذا ليس إطار عمل ولا مكتبة. لا يوجد كود لاستيراده.
كل مسرحية هي إجراء أمني خطوة بخطوة مع قوائم تحقق ومعايير قرار وقوالب مخرجات. يتبع وكيل الذكاء الاصطناعي الإجراء لإنتاج نتائج متسقة قائمة على الأدلة. فكّر فيها كدليل محلل SOC — لكن مكتوب لينفذه وكلاء الذكاء الاصطناعي.
مع Claude Code (موصى به):
الخطوة 1 — سجّل سوق الإضافات:
/plugin marketplace add OWASP/secure-agent-playbook
الخطوة 2 — ثبّت مجموعة مهارات:
/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook
الخطوة 3 — استخدم المهارات بذكر المهمة في المحادثة:
"Review this code for security issues"
"Scan my dependencies for CVEs"
"Audit this MCP server configuration"
"Test this chatbot for prompt injection"
سيقوم Claude تلقائيًا بتفعيل المهارة ذات الصلة بناءً على السياق. راجع فهرس المهارات لجميع المهارات المتاحة ومثال على المخرجات لمعرفة شكل النتائج.
إضافة المؤسسة — لمسؤولي مؤسسة Claude الذين يثبّتون عبر Organization Plugins:
secure-agent-playbook.zip من أصول الإصدارملاحظة: لا تستخدم زر "Download ZIP" في GitHub — فهو يضع الملفات في مجلد فرعي يرفضه مدقق الإضافة. استخدم دائمًا ملف zip من أصول الإصدار.
مهارات المؤسسة — لمسؤولي مؤسسة Claude الذين يرفعون مهارات فردية في Organization settings > Skills:
web-security-review.zip)ملاحظة: يرفض رفع المهارات ملفات zip التي تحتوي على أكثر من 200 ملف، لذا لا يمكن رفع
secure-agent-playbook.zipالكامل هناك — استخدم ملفات zip لكل مهارة. لبنائها من نسخة مستنسخة، شغّلscripts/package_skills.shوارفع منdist/skills/.
التطوير المحلي — للاختبار من نسخة مستنسخة محلية بدلاً من GitHub:
/plugin marketplace add /path/to/agent-security-playbook
/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook
بدون Claude Code:
ارجع إلى المسرحيات مباشرة كإجراءات لأي وكيل ذكاء اصطناعي أو للاستخدام اليدوي:
plugins/ai-security-skills/plays/agent-security-audit.md"code-security-skills)| المهارة | ما تفعله | قل هذا | مرجع OWASP |
|---|---|---|---|
code-review-security | مراجعة أمنية للكود مرتبطة بـ Top 10 + ASVS | "Review this code for security issues" | Top 10, ASVS |
sca-audit | فحص CVE للاعتماديات مع تحليل قابلية الوصول | "Scan my dependencies for CVEs" | A06:2021 |
secrets-scan | اكتشاف بيانات الاعتماد ومفاتيح API المضمّنة | "Scan for hardcoded secrets" | CWE-798 |
api-security-review | مراجعة API مقابل OWASP API Top 10 (2023) | "Review this API for security" | API Top 10 |
web-security-review | مراجعة تطبيق ويب مقابل OWASP Top 10 (2021) | "Review this web app for OWASP Top 10" | Top 10 |
mobile-code-review | مراجعة كود مصدري أصلي لـ Android/iOS مقابل OWASP MASVS v2.1.0 | "Review this mobile app for security" | MASVS v2.1.0 |
iac-security-review | أمن IaC (Terraform، K8s، CloudFormation) | "Review this Terraform for security" | CIS Benchmarks |
securability-engineering | توليد كود قابل للتأمين بطبيعته (FIASSE v1.0.4) | "Generate secure code for..." | FIASSE v1.0.4 |
securability-engineering-review | تقييم قابلية تأمين الكود (تقييم SSEM من 0-10) | "Assess the securability of this code" | FIASSE v1.0.4/SSEM |
prd-securability-enhancement | تقوية PRDs/المواصفات بتغطية ASVS ومتطلبات FIASSE SSEM قبل كتابة الكود | "Harden this PRD" / "Map features to ASVS" | ASVS, FIASSE v1.0.4 |
security-guidance | إرشادات ASVS تُفعَّل تلقائيًا للكود الحساس أمنيًا | (يُفعَّل تلقائيًا) | ASVS 5.0 |
ai-security-skills)| المهارة | ما تفعله | قل هذا | مرجع OWASP |
|---|---|---|---|
agent-security-audit | تدقيق أذونات الوكيل، وأسطح الحقن، ومسارات تسريب البيانات | "Audit this agent's security" | LLM Top 10 |
llm-risk-assess | تقييم تطبيق LLM مقابل LLM Top 10 2025 | "Assess LLM risks for this app" | LLM Top 10 |
agentic-ai-risk-assess | تقييم تطبيق وكيلي مقابل Top 10 Agentic 2026 | "Assess agentic AI risks" | Agentic Top 10 |
mcp-server-review | مراجعة أمنية لخادم MCP | "Review this MCP server" | LLM Top 10 |
prompt-injection-test | اختبار حقن التوجيهات (Arcanum PI Taxonomy) | "Test for prompt injection" | LLM01 |
multi-agentic-threat-model | نمذجة تهديدات CSA MAESTRO ذات 7 طبقات | "Model threats for this multi-agent system" | CSA MAESTRO |
ai-security-verification | التحقق من تطبيق ذكاء اصطناعي مقابل OWASP AISVS (13 فئة) | "Verify this AI app against AISVS" | AISVS |
الوكلاء هم متخصصون أمنيون مستقلون يستدعون المهارات ويُنتجون تقارير منظمة. لكل وكيل موجه نظام مركّز، ووصول محدود الأدوات، ومهارات محمّلة مسبقًا. استخدمهم بشكل فردي أو كفريق منسّق.
| الوكيل | التركيز | المهارات المستدعاة |
|---|---|---|
code-security-reviewer | ثغرات الكود، والأسرار، وأمن الويب | code-review-security, secrets-scan, web-security-review |
dependency-auditor | مخاطر سلسلة التوريد وCVE للاعتماديات | sca-audit |
api-security-reviewer | أمن API مقابل OWASP API Top 10 | api-security-review |
mobile-security-reviewer | كود مصدري أصلي لـ Android/iOS مقابل OWASP MASVS v2.1.0 | mobile-code-review |
ai-security-assessor | إعدادات الوكلاء، وخوادم MCP، ومخاطر تطبيقات LLM | agent-security-audit, mcp-server-review, llm-risk-assess, prompt-injection-test |
security-team-lead | ينسّق المتخصصين، ويوحّد التقرير | securability-engineering-review |
الاستخدام المستقل — استدعِ أي وكيل مباشرة:
"Use code-security-reviewer to review src/"
"Use dependency-auditor to scan this project"
تقييم الفريق — مع تفعيل فرق الوكلاء، يوزّع قائد الفريق المتخصصين بالتوازي ويوحّد النتائج في تقرير واحد:
"Run a full security assessment of this project"