sast — Plugin per Claude Code (SAST)

Un plugin autonomo per Claude Code (sast) che integra SAST direttamente in Claude Code tramite skill con slash-command, subagent e hook del ciclo di vita.

Struttura del Plugin

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Manifest del plugin (name: "sast")
│   ├── marketplace.json             # Manifest del marketplace (name: "sast")
│   └── icon.png                     # Icona del plugin PNG quadrata 1024x1024
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Scansione completa SAST + taint + secrets + IaC + SCA
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Scansione incrementale rapida sui file modificati di git
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Rilevamento secret + validazione live delle chiavi + cronologia git
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — CVE delle dipendenze (OSV), dep confusion, CMS, licenze
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Threat model, ispezione del gate FP e triage di sfruttabilità
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Diff di auto-remediation e verifica post-patch
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) tripwire per secret e scansione opzionale di singoli file
├── scripts/
│   ├── sast_runner.py               # Runner SAST autonomo incluso e formattatore del riepilogo per Claude
│   └── post_edit_check.py           # Handler rapido per l'hook PostToolUse
└── README.md

Avvio Rapido

Installazione dal Marketplace GitHub (Consigliato)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

Oppure all'interno di una sessione interattiva di Claude Code:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Validare il Plugin Localmente

claude plugin validate .

Slash Command (Skill)

Comando	Descrizione
/sast:scan [path]	Scansione completa SAST + AST/taint (16+ linguaggi) + secrets + IaC + SCA
/sast:diff [path]	Scansione SAST incrementale rapida dei file modificati, in staging e non tracciati di git (--changed)
/sast:secrets [path]	Scansiona il working tree e --git-history alla ricerca di credenziali hardcoded con validazione live delle chiavi del provider
/sast:sca [path]	Verifica le dipendenze (CVE OSV), dependency confusion, librerie JS incluse, plugin CMS e --licenses
/sast:triage [path]	Costruisce il modello STRIDE --threat-model ed effettua il triage dei risultati rispetto al gate 0-FP solo-reali
/sast:fix [path]	Remedia le vulnerabilità (--remediation) e riverifica con --changed

Subagent

• @agent-sast:security-auditor — Esegue lo scanner SAST incluso, traccia i flussi di dati source-to-sink nei file sorgente e produce report delle vulnerabilità prioritizzati.
• @agent-sast:remediation-engineer — Crea patch di sicurezza minime e riesegue lo scanner per verificare ogni correzione.

Opzioni del Plugin (userConfig)

Configurate tramite la finestra di configurazione dei plugin di Claude Code (/plugin → Configure options):

• scan_on_edit (boolean, predefinito false) — Abilita la scansione SAST automatica di singoli file all'interno dell'hook PostToolUse (Write|Edit).
• provider_api_key (string, sensitive: true, opzionale) — Chiave API opzionale memorizzata nell'archivio sicuro delle credenziali di Claude Code per diff di triage/remediation AI standalone.