sast — Plugin de Claude Code (SAST)

Un plugin de Claude Code autocontenido (sast) que incorpora SAST directamente en Claude Code mediante habilidades de comandos con barra, subagentes y hooks de ciclo de vida.

Estructura del Plugin

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Manifiesto del plugin (name: "sast")
│   ├── marketplace.json             # Manifiesto del marketplace (name: "sast")
│   └── icon.png                     # Icono del plugin PNG cuadrado de 1024x1024
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Escaneo completo SAST + taint + secretos + IaC + SCA
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Escaneo incremental rápido sobre archivos modificados de git
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Detección de secretos + validación de claves en vivo + historial de git
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — CVEs de dependencias (OSV), confusión de dependencias, CMS, licencias
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Modelo de amenazas, inspección de puerta de FP y triaje de explotabilidad
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Diffs de auto-remediación y verificación posterior al parche
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) trampa de secretos y escaneo opcional de un solo archivo
├── scripts/
│   ├── sast_runner.py               # Ejecutor SAST autocontenido incluido y formateador de resumen de Claude
│   └── post_edit_check.py           # Manejador rápido del hook PostToolUse
└── README.md

Inicio Rápido

Instalar desde el Marketplace de GitHub (Recomendado)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

O dentro de una sesión interactiva de Claude Code:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Validar el Plugin Localmente

claude plugin validate .

Comandos con Barra (Habilidades)

Comando	Descripción
/sast:scan [path]	Escaneo completo SAST + AST/taint (16+ lenguajes) + secretos + IaC + SCA
/sast:diff [path]	Escaneo SAST incremental rápido de archivos modificados, preparados y no rastreados de git (--changed)
/sast:secrets [path]	Escanea el árbol de trabajo y --git-history en busca de credenciales codificadas con validación de claves de proveedor en vivo
/sast:sca [path]	Audita dependencias (CVEs de OSV), confusión de dependencias, librerías JS empaquetadas, plugins de CMS y --licenses
/sast:triage [path]	Construye STRIDE --threat-model y triaje de hallazgos contra la puerta de solo reales con 0-FP
/sast:fix [path]	Remedia vulnerabilidades (--remediation) y vuelve a verificar con --changed

Subagentes

• @agent-sast:security-auditor — Ejecuta el escáner SAST incluido, rastrea flujos de datos de origen a sumidero en los archivos fuente y produce informes de vulnerabilidades priorizados.
• @agent-sast:remediation-engineer — Elabora parches de seguridad mínimos y vuelve a ejecutar el escáner para verificar cada corrección.

Opciones del Plugin (userConfig)

Configuradas a través del diálogo de configuración de plugins de Claude Code (/plugin → Configure options):

• scan_on_edit (boolean, por defecto false) — Habilita el escaneo SAST automático de un solo archivo dentro del hook PostToolUse (Write|Edit).
• provider_api_key (string, sensitive: true, opcional) — Clave API opcional almacenada en el almacenamiento seguro de credenciales de Claude Code para diffs de triaje/remediación con IA independiente.