sast — Plugin Claude Code (SAST)

Un plugin Claude Code autonome (sast) qui intègre SAST directement dans Claude Code via des compétences de commandes slash, des sous-agents et des hooks de cycle de vie.

Structure du plugin

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Manifeste du plugin (name: "sast")
│   ├── marketplace.json             # Manifeste du marketplace (name: "sast")
│   └── icon.png                     # Icône du plugin PNG carrée 1024x1024
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Analyse complète SAST + taint + secrets + IaC + SCA
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Analyse incrémentale rapide sur les fichiers modifiés par git
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Détection de secrets + validation de clés en direct + historique git
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — CVE des dépendances (OSV), confusion de dépendances, CMS, licences
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Modèle de menace, inspection du filtre FP et triage d'exploitabilité
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Diffs de remédiation automatique et vérification post-patch
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) fil-piège à secrets et analyse optionnelle d'un seul fichier
├── scripts/
│   ├── sast_runner.py               # Exécuteur SAST autonome intégré et formateur de résumé Claude
│   └── post_edit_check.py           # Gestionnaire de hook PostToolUse rapide
└── README.md

Démarrage rapide

Installer depuis le marketplace GitHub (recommandé)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

Ou dans une session interactive Claude Code :

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Valider le plugin localement

claude plugin validate .

Commandes slash (compétences)

Commande	Description
/sast:scan [path]	Analyse complète SAST + AST/taint (16+ langages) + secrets + IaC + SCA
/sast:diff [path]	Analyse SAST incrémentale rapide des fichiers modifiés, indexés et non suivis par git (--changed)
/sast:secrets [path]	Analyse l'arbre de travail et --git-history à la recherche d'identifiants codés en dur avec validation de clés de fournisseur en direct
/sast:sca [path]	Audite les dépendances (CVE OSV), la confusion de dépendances, les bibliothèques JS intégrées, les plugins CMS et --licenses
/sast:triage [path]	Construit un --threat-model STRIDE et trie les résultats selon le filtre 0-FP réel uniquement
/sast:fix [path]	Remédie aux vulnérabilités (--remediation) et revérifie avec --changed

Sous-agents

• @agent-sast:security-auditor — Exécute l'analyseur SAST intégré, trace les flux de données de la source au puits dans les fichiers source et produit des rapports de vulnérabilités priorisés.
• @agent-sast:remediation-engineer — Élabore des correctifs de sécurité minimaux et relance l'analyseur pour vérifier chaque correction.

Options du plugin (userConfig)

Configurées via la boîte de dialogue de configuration du plugin de Claude Code (/plugin → Configure options) :

• scan_on_edit (boolean, par défaut false) — Active l'analyse SAST automatique d'un seul fichier dans le hook PostToolUse (Write|Edit).
• provider_api_key (string, sensitive: true, facultatif) — Clé API facultative stockée dans le stockage sécurisé des identifiants de Claude Code pour les diffs autonomes de triage/remédiation par IA.