Secure Agent Playbook

Un playbook de sécurité open source pour les agents IA. Des procédures structurées, ancrées dans l'OWASP, qui permettent aux agents d'effectuer des tâches d'ingénierie de sécurité — de la revue de code aux audits de sécurité des agents IA.

Table des matières

• Pourquoi utiliser ceci ?
• Ce que c'est
• Démarrage rapide
• Catalogue des compétences
• Agents
• Exemple de sortie
• Plays
• Architecture
• Fondation OWASP
• Projets liés
• Contribution

Pourquoi utiliser ceci ?

Sans playbook, demander à un agent IA de « revoir mon code pour la sécurité » vous donne une checklist superficielle. Avec ces plays, l'agent suit une procédure structurée ancrée dans l'OWASP — testant systématiquement chaque classe de vulnérabilité, produisant des constats avec des mappages CWE, des références croisées OpenCRE, des extraits de preuves et du code de remédiation spécifique.

• Méthodologie cohérente — Chaque évaluation suit une procédure documentée, et non un prompting ad-hoc. Les résultats sont reproductibles d'une exécution à l'autre et entre relecteurs.
• Sortie structurée et exploitable — Les constats incluent la sévérité, le CWE, les preuves et les étapes de remédiation avec des exemples de code. Pas d'avertissements vagues.
• Traçabilité inter-normes — Les constats sont liés au CWE, ASVS, WSTG et NIST 800-53 via OpenCRE pour le mappage de conformité.
• 18 compétences de sécurité — Du scan de CVE de dépendances aux tests d'injection de prompt en passant par la modélisation des menaces multi-agents. Installez comme plugin Claude Code ou utilisez en autonome.
• Fonctionne au-delà de Claude Code — Les compétences sont des plugins Claude Code ; les plays sont des procédures autonomes que tout agent IA peut suivre.

Ce que c'est

Ce n'est pas un framework ni une bibliothèque. Il n'y a aucun code à importer.

Chaque play est une procédure de sécurité étape par étape avec des checklists, des critères de décision et des modèles de sortie. Un agent IA suit la procédure pour produire des constats cohérents et fondés sur des preuves. Voyez cela comme le playbook d'un analyste SOC — mais écrit pour être exécuté par des agents IA.

Démarrage rapide

Avec Claude Code (recommandé) :

Étape 1 — Enregistrer le marketplace de plugins :

/plugin marketplace add OWASP/secure-agent-playbook

Étape 2 — Installer un ensemble de compétences :

/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook

Étape 3 — Utiliser les compétences en mentionnant la tâche dans la conversation :

"Review this code for security issues"
"Scan my dependencies for CVEs"
"Audit this MCP server configuration"
"Test this chatbot for prompt injection"

Claude activera automatiquement la compétence pertinente en fonction du contexte. Voir le Catalogue des compétences pour toutes les compétences disponibles et l'Exemple de sortie pour voir à quoi ressemblent les résultats.

Plugin d'organisation — Pour les administrateurs d'organisation Claude installant via Organization Plugins :

1. Accédez à la dernière version
2. Téléchargez secure-agent-playbook.zip depuis les ressources de la version
3. Téléversez le zip dans Organization settings > Plugins > Add plugin

Remarque : N'utilisez pas le bouton « Download ZIP » de GitHub — il imbrique les fichiers dans un sous-répertoire que le validateur de plugin rejette. Utilisez toujours le zip des ressources de version.

Compétences d'organisation — Pour les administrateurs d'organisation Claude téléversant des compétences individuelles dans Organization settings > Skills :

1. Accédez à la dernière version
2. Téléchargez le zip de chaque compétence souhaitée (par ex. web-security-review.zip)
3. Téléversez-le dans Organization settings > Skills > Upload a skill

Remarque : Le téléversement de compétences rejette les zips contenant plus de 200 fichiers, donc le secure-agent-playbook.zip complet ne peut pas y être téléversé — utilisez les zips par compétence. Pour les construire à partir d'un clone, exécutez scripts/package_skills.sh et téléversez depuis dist/skills/.

Développement local — Pour tester depuis un clone local au lieu de GitHub :

/plugin marketplace add /path/to/agent-security-playbook
/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook

Sans Claude Code :

Référencez directement les plays comme procédures pour tout agent IA ou usage manuel :

• Pointez votre agent vers un play : « Suivez la procédure dans plugins/ai-security-skills/plays/agent-security-audit.md »
• Ou utilisez les plays comme checklists pour des revues de sécurité manuelles

Catalogue des compétences

Sécurité du code et de l'infrastructure (code-security-skills)

Compétence	Ce qu'elle fait	Dites ceci	Réf. OWASP
code-review-security	Revue de code de sécurité mappée au Top 10 + ASVS	"Review this code for security issues"	Top 10, ASVS
sca-audit	Scan de CVE de dépendances avec analyse d'atteignabilité	"Scan my dependencies for CVEs"	A06:2021
secrets-scan	Détecter les identifiants codés en dur et les clés API	"Scan for hardcoded secrets"	CWE-798
api-security-review	Revue d'API selon l'OWASP API Top 10 (2023)	"Review this API for security"	API Top 10
web-security-review	Revue d'application web selon l'OWASP Top 10 (2021)	"Review this web app for OWASP Top 10"	Top 10
mobile-code-review	Revue de code source natif Android/iOS selon l'OWASP MASVS v2.1.0	"Review this mobile app for security"	MASVS v2.1.0
iac-security-review	Sécurité IaC (Terraform, K8s, CloudFormation)	"Review this Terraform for security"	CIS Benchmarks
securability-engineering	Générer du code intrinsèquement sécurisable (FIASSE v1.0.4)	"Generate secure code for..."	FIASSE v1.0.4
securability-engineering-review	Évaluer la sécurisabilité du code (score SSEM 0-10)	"Assess the securability of this code"	FIASSE v1.0.4/SSEM
prd-securability-enhancement	Renforcer les PRD/spécifications avec la couverture ASVS et les exigences FIASSE SSEM avant l'écriture du code	"Harden this PRD" / "Map features to ASVS"	ASVS, FIASSE v1.0.4
security-guidance	Conseils ASVS déclenchés automatiquement pour le code sensible à la sécurité	(déclenché automatiquement)	ASVS 5.0

Sécurité de l'IA et des agents (ai-security-skills)