Security Harness

Claude Code（および将来的には他のAIエージェント）向けのマルチエージェントアプリケーションセキュリティレビューハーネス。1つのルータースキルが、コードベースをマッピングし、クラスごとのナレッジベースで脆弱性をハンティングし、検出結果をチェーンしてエスカレーションし、実際の影響を検証し、README / JSON / SARIF / doc / PDF にレポートする、完全なオフェンシブセキュリティパイプラインへディスパッチします。

スコープ: このハーネスは、あなたが所有する、またはテストを許可されているコードに対して静的分析（ソースレビュー、データフロートレース、PoC/ペイロード構築）を実行します。稼働中のサードパーティシステムを攻撃するものではありません。

含まれるもの```

security-harness/ # a plugin marketplace └── plugins/security-harness/ ├── skills/ │ ├── sh-router # single entry point - routes any appsec request │ ├── sh-security-review # the pipeline orchestrator (Stages 0-5) │ └── sh-kb-* (15) # per-vuln-class knowledge bases ├── agents/ │ ├── sh-recon # map: Graft graph + stack/SBOM/CVE + attack surface │ ├── sh-hunter # find: source→sink hunting, one per class (parallel) │ ├── sh-chainer # escalate: combine findings into attack chains │ ├── sh-verifier # confirm: offensive + seceng + dev verification + PoC │ └── sh-reporter # deliver: README/JSON/SARIF/HTML/PDF/doc └── references/ # shared contracts (finding schema, SARIF map, state files, rubrics)

### 対象となる脆弱性クラス（`sh-kb-*` スキル）

access-control（IDOR/BOLA/priv-esc） · sqli · xss · ssrf · injection（cmd/code/SSTI/LDAP） · auth（session/JWT）
· deserialization · path-traversal（LFI/RFI） · secrets · csrf · xxe · open-redirect · crypto · race-conditions
· file-upload。依存関係の CVE/SBOM は偵察ステージで処理されます。

## インストール

このハーネスは複数のエージェント向けに提供されています。完全なパッケージングの詳細とリリース
チェックリストは [`docs/DISTRIBUTION.md`](https://github.com/dmdhrumilmistry/security-harness/blob/main/docs/DISTRIBUTION.md) にあります。

**Claude Code** - このリポジトリをプラグインマーケットプレイスとして追加し、プラグインをインストールします：```
/plugin marketplace add dmdhrumilmistry/security-harness
/plugin install security-harness

2つの追記専用JSONLファイル - `runs.jsonl`（リポジトリ、PR、ティア、判定、合計、渡したフラグ）と `events.jsonl`（フェーズまたはエージェントごとに1行: モデル、トークン、所要時間、結果、キャッシュから再利用されたかどうか）。JSONLなので、クラッシュした実行でもクラッシュ前の有効な行が残ります。 | プラットフォーム | メトリクス | キャッシュ | |---|---|---| | **Linux / BSD** | `$XDG_DATA_HOME/security-harness/metrics`<br>デフォルト `~/.local/share/security-harness/metrics` | `$XDG_CACHE_HOME/security-harness`<br>デフォルト `~/.cache/security-harness` | | macOS | `~/Library/Application Support/security-harness/metrics` | `~/Library/Caches/security-harness` | | Windows | `%LOCALAPPDATA%\security-harness\metrics` | `%LOCALAPPDATA%\security-harness\cache` | LinuxはXDG Base Directory仕様に従うため、`XDG_DATA_HOME` と `XDG_CACHE_HOME` が設定されていればどちらもそれを尊重し、設定されていなければ `~/.local/share` と `~/.cache` にフォールバックします。どちらも `SH_METRICS_DIR` と `SH_REVIEW_CACHE_DIR` で直接上書きできます。 **`python` と `python3` について:** ほとんどのLinuxディストリビューションは `python3` を同梱しており、`python` はまったく存在しません。そのため、ここでの例では `python3` を使用しています。同梱のスクリプトには `#!/usr/bin/env python3` のシバンがあり、実行可能なので、`./scripts/sh-metrics.py report` はLinuxとmacOSで直接動作します。スキルは実行ごとに一度 `PY="$(command -v python3 || command -v python)"` を解決し、WindowsのGit Bashを含む3つのプラットフォームすべてをカバーします。 **完全にローカル。** どちらのスクリプトにもネットワークコードやレポート送信エンドポイントは含まれていません。トークンらしきものは書き込まれる前に伏せられます。ローカルファイルはissueに貼り付けられるからです。 ### 無人での実行任意であり、スキルの使用とは別の判断です。まずしばらく自分のPRで手動実行して、チームの前で語られる前に、自分のコードベースについて何を言うのかを知っておきましょう。準備ができたら、[`references/pr-review-mapping.md`](https://github.com/dmdhrumilmistry/security-harness/blob/main/plugins/security-harness/references/pr-review-mapping.md) の「Enforcing the check on a repository」に、**あなたの**リポジトリ向けのコピー&ペースト可能なワークフローと、死んだジョブが必須チェックを `pending` のまま残すのを防ぐフェイルセーフがあります。しきい値はデフォルトの `medium` のままです。既存の検出結果がマージをブロックすることは決してないので、スキャンされていないコードベースが初日に赤一色になることはありません - PRが実際に導入または悪化させたものだけが失敗させられます。 ## 仕組み 1. **セットアップ** - 利用可能なツールを調査し、スコープを定義し、実行ディレクトリを作成します。 2. **偵察** (`sh-recon`) - Graftグラフを構築し、スタック/バージョンを検出し、SBOM + CVEを取得し、エントリポイント、信頼境界、危険なシンクを列挙します。 3. **ハント** (`sh-hunter` ×N、並列) - 関連するクラスごとに1つのハンターがその `sh-kb-*` ナレッジベースをロードし、攻撃者入力をソースからシンクまで追跡し、候補を記録します。共有の**試行台帳**が、エージェント同士が互いのプローブを繰り返すのを防ぎます。 4. **チェーン** (`sh-chainer`) - 検出結果をより高い深刻度の攻撃パスに構成します。 5. **検証** (`sh-verifier`) - まず反証し、次に証拠から悪用可能性を確認し、PoCを構築し、CVSSを割り当て、誤検出を削減します。 6. **レポート** (`sh-reporter`) - 成果物を生成します。サブエージェントはファイル以外に何も共有しません。その契約は `plugins/security-harness/references/state-files.md` にあります。 ## 拡張共有テンプレート（いつハントするか · ソースとシンク · 検出レシピ · ペイロード/PoC · 誤検出フィルタ · CWE/OWASP · チェーンのヒント · 緩和策）に従って `skills/sh-kb-<class>/SKILL.md` を作成することで、新しい脆弱性クラスを追加できます。次に、そのスラッグを `references/finding-schema.json` の `class` enumと、`skills/sh-router/SKILL.md` のルーティングテーブルに追加します。 ## ナレッジベースの自動更新スケジュールされたGitHub Action（`.github/workflows/update-knowledge-base.yml`）が `sh-kb-*` ナレッジベースを最新に保ちます。**隔日で**（および手動の `workflow_dispatch` で）、エージェントを実行して、新しく信頼できる公開セキュリティ研究 - OWASP、PortSwigger Research、CWE/CAPEC、NIST、MDN、厳選されたGitHubリポジトリ、公開HackerOne開示 - を、小規模で出典の明確な改善に蒸留します。次に**2番目の敵対的レビューエージェント**が結果のdiffをスキャンして悪意のある/注入されたコンテンツを探し、PRは**そのレビュー担当が承認した場合にのみ自動マージされます**。 ### 2つのワークフロー、3つのジョブ PR作成はレビューとマージから意図的に分離されており、diffを書くものがそれを出荷することを決めるものには決してなりません。 **ステージ1 - [`update-knowledge-base.yml`](https://github.com/dmdhrumilmistry/security-harness/blob/main/.github/workflows/update-knowledge-base.yml)** （スケジュールまたは手動）。1つのジョブ、`create-pr`: 1. **生成** - エージェントが許可リストのソースからKBを編集します。コミットもプッシュもなし。 2. **PRを開く** - 決定論的なステップが `automated/kb-update` ブランチでPRを開き（または更新し）、`awaiting-review` のラベルを付けます。 3. **引き渡し** - PR作成が成功すると、PR番号を付けてステージ2をディスパッチします。 **ステージ2 - [`kb-review-and-merge.yml`](https://github.com/dmdhrumilmistry/security-harness/blob/main/.github/workflows/kb-review-and-merge.yml)** （ステージ1からディスパッチされるか、任意の自動PRに対して手動で実行）。2つのジョブ: - **`review`** - *別の*エージェント実行がdiffを**敵対的に**検査し、プロンプトインジェクションの痕跡、スコープ外の編集、シークレット/持ち出し、PII、武器化されたエクスプロイト、許可リスト外のソース、またはハウススタイル違反を探します。**ウェブもシェルもなく**、**フェイルクローズド**です: 疑わしいもの、少しでも不確実なもの、または判定ファイルの欠落 → REJECT。判定はPRコメントとして投稿され、ラベルを制御します。 - **`merge`** - `APPROVE` の場合に**のみ**実行され、PRをマージします。`REJECT` はそれをスキップし、`blocked` ジョブが理由を報告します。 > **`pull_request` トリガーではなくディスパッチを使う理由:** `GITHUB_TOKEN` によって開かれたPRは `pull_request` ワークフローをトリガーしません。`workflow_dispatch` はその再帰ガードから免除される2つのイベントのうちの1つなので、ステージ1は確実に引き渡すことができます。 **自動マージとは、承認するエージェントが `main` にコードを着地させることを意味します。** それに対する制御: - マージジョブは、クローズされたPR、フォークからのPR、またはヘッドブランチが `automated/*` の外にあるPR（ワークフロー内の `ALLOWED_HEAD_PREFIX`）を拒否します。 - GitHub自身の自動マージを優先するため、**ブランチ保護は依然として適用されます**。`main` に承認レビューを要求するルールがある場合、PRはキューに入り、マージされる代わりに人間を待ちます。自動マージがオフのリポジトリでのみ、即時マージにフォールバックします。 - 手動実行で `auto_merge` 入力を `false` に設定すると、マージせずにレビューできます。 - レビュー担当のプロンプトは、その判定が助言ではなく拘束力を持つことをエージェントに伝えます。 > ワークフローがPRを開けるように、リポジトリ設定の**「Allow GitHub Actions to create and approve pull requests」**（Settings → Actions → General → Workflow permissions）が必要です。自動マージにもかかわらず人間をループに入れたい場合は、`main` をプルリクエストと少なくとも1つの承認レビューを要求するブランチ保護ルールで保護してください - 自動マージのパスはそれを尊重します。 ### プラグ可能なエージェント両ステージは [`.github/actions/ai-agent`](https://github.com/dmdhrumilmistry/security-harness/blob/main/.github/actions/ai-agent/action.yml) を通じて実行されます。これは、設定した任意のエージェントにディスパッチする複合アクションです。Claude Code、OpenAI Codex、Gemini CLI、およびその他すべてのためのエスケープハッチ: | `agent` | 実行内容 | 認証情報 | |---|---|---| | `claude`（デフォルト） | `anthropics/claude-code-action@v1` | `CLAUDE_CODE_OAUTH_TOKEN` または `ANTHROPIC_API_KEY` | | `codex` | `codex exec --full-auto` | `OPENAI_API_KEY` | | `gemini` | `gemini --yolo --prompt` | `GEMINI_API_KEY` | | `custom` | あなたの `KB_AGENT_INSTALL` / `KB_AGENT_COMMAND` | それが何であれ必要なもの | 実行ごとに `workflow_dispatch` 入力から選択するか、リポジトリ変数を設定してデフォルトを変更します: ジェネレータには `KB_AGENT` と `KB_MODEL`、レビュー担当には `KB_REVIEW_AGENT` と `KB_REVIEW_MODEL`。ジェネレータとレビュー担当を**異なるエージェント**で実行することは、意味のあるハードニングのステップです: あるモデル向けに調整されたインジェクションが、2番目の独立したモデルに着地する可能性は低くなります。 `agent: custom` の場合、`KB_AGENT_COMMAND` をシェルコマンドに設定します。プロンプトは `$AGENT_PROMPT_FILE` で指定されたファイルに書き込まれ、`$AGENT_MODEL` がモデル入力を運びます。ジェネレータがオープンウェブを読むため、プロンプトインジェクション対策: - **ドメイン許可リスト。** `WebFetch` は `.github/kb-update/trusted-sources.md` の信頼できるドメインに制限されています（ワークフローの `--allowedTools` にも反映）。`WebSearch` はURLを発見できますが、実際にフェッチできるのは許可リストのドメインのみです。 - **コンテンツはデータであり、コマンドではない。** タスクプロンプト（`.github/kb-update/prompt.md`）は、フェッチされたすべてのバイトを信頼できない参照資料として扱い、ページに埋め込まれた指示を無視するようClaudeに指示します - HackerOneレポート本文（ユーザー生成）は最高リスク層としてフラグが立てられます。 - **ジェネレータにシェルもプッシュもなし; レビュー担当がゲート。** ジェネレータはファイルを編集することしかできません。独立したレビュー担当（`.github/kb-update/review-prompt.md`）が、フェッチされたコンテンツと `main` の間に立つものです - その明示的な承認なしには何もマージされません。 - **ジェネレータとレビュー担当に異なるエージェント。** 任意であり、ゲートの最強バージョンです: `KB_AGENT` と `KB_REVIEW_AGENT` を2つの異なるエンジンに設定します。 **セットアップ:** - 使用するエージェントの認証情報を追加します（Settings → Secrets and variables → Actions）: **`CLAUDE_CODE_OAUTH_TOKEN`**（デフォルト）、`ANTHROPIC_API_KEY`、`OPENAI_API_KEY`、または `GEMINI_API_KEY`。OAuthトークンは、従量制のAPIキーではなく、**あなたのClaudeサブスクリプションの使用制限**に対して認証します - ローカルで `claude setup-token` で生成し（アクティブなClaude Pro/Maxサブスクリプションが必要）、結果を貼り付けます。 - ワークフローがPRを開けるように、**「Allow GitHub Actions to create and approve pull requests」**（Settings → Actions → General → Workflow permissions）を有効にします。推奨: `main` にPRと承認レビューを要求するブランチ保護ルールを追加し、自動マージがオンでも人間なしには自動変更が着地できないようにします。 - 許可するソースを変更するには、`trusted-sources.md` の許可リスト**と**ワークフロー内の対応する `WebFetch(domain:...)` エントリを編集します - 両方を同期させておいてください。各実行は、行ったことを `.github/kb-update/last-run-summary.md` に記録します。 ## ロードマップ - ~~Codex / Cursorミラーの配線。~~ ✅ 出荷済み: `AGENTS.md`、Gemini CLI拡張、および `.agents/skills` と opencode 用の `scripts/sync-agent-skills.py`。[`docs/DISTRIBUTION.md`](https://github.com/dmdhrumilmistry/security-harness/blob/main/docs/DISTRIBUTION.md) を参照。 - ~~厳選された参照の上に、ナレッジベースのオプションのライブフェッチ拡張（PortSwigger/OWASP/CWE）。~~ ✅ 上記のスケジュールされたナレッジベース更新プログラムとして出荷済み。 - `needs-runtime` 検出結果の実行時確認のためのオプションのDASTブリッジ。 ## ライセンス MIT

ステージ	デフォルトモデル
recon	`sonnet`
hunt（クラスごと）	パターンクラス（secrets、crypto、open-redirect、csrf）には `haiku` · source→sink トレーシング（sqli、xss、ssrf、injection、path-traversal、xxe、file-upload、auth）には `sonnet` · 深いロジッククラス（access-control、race-conditions、deserialization）には `opus`
chain	`opus`
verify	`opus`（精度のゲート - 強力に維持）
report	`haiku`

判定	ステータス	条件
fail	`failure`	`--fail-on`（デフォルト `medium`）以上で、信頼度 >= 80 の introduced または aggravated の所見
warn	`success`	introduced または aggravated がなく、pre-existing の所見が報告された
pass	`success`	所見なし、またはトリアージが Tier 0 で停止した
error	`error`	レビューを完了できなかった

security-harness

人気

使用方法

モデルとコストの制御

再レビューはインクリメンタル

投稿、および何がどこに書かれるか

ローカル実行メトリクス