sast — Claude Code 플러그인 (SAST)

SAST를 슬래시 명령 스킬, 서브에이전트, 라이프사이클 훅을 통해 Claude Code에 직접 통합하는 자체 완결형 Claude Code 플러그인(sast)입니다.

플러그인 구조

sast/
├── .claude-plugin/
│   ├── plugin.json                  # 플러그인 매니페스트 (name: "sast")
│   ├── marketplace.json             # 마켓플레이스 매니페스트 (name: "sast")
│   └── icon.png                     # 1024x1024 정사각형 PNG 플러그인 아이콘
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — 전체 SAST + 테인트 + 시크릿 + IaC + SCA 스캔
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — git 변경 파일에 대한 빠른 증분 스캔
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — 시크릿 탐지 + 실시간 키 검증 + git 히스토리
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — 의존성 CVE (OSV), 의존성 혼동, CMS, 라이선스
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — 위협 모델링, FP 게이트 검사 및 익스플로잇 가능성 트리아지
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — 자동 교정 diff 및 패치 후 검증
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) 시크릿 트립와이어 및 선택적 단일 파일 스캔
├── scripts/
│   ├── sast_runner.py               # 번들된 자체 완결형 SAST 러너 및 Claude 요약 포매터
│   └── post_edit_check.py           # 빠른 PostToolUse 훅 핸들러
└── README.md

빠른 시작

GitHub 마켓플레이스에서 설치 (권장)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

또는 대화형 Claude Code 세션 내에서:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

로컬에서 플러그인 검증

claude plugin validate .

슬래시 명령 (스킬)

명령	설명
/sast:scan [path]	전체 SAST + AST/테인트 (16개 이상 언어) + 시크릿 + IaC + SCA 스캔
/sast:diff [path]	git 수정, 스테이징, 추적되지 않은 파일에 대한 빠른 증분 SAST 스캔 (--changed)
/sast:secrets [path]	실시간 공급자 키 검증을 통해 작업 트리 및 --git-history에서 하드코딩된 자격 증명 스캔
/sast:sca [path]	의존성 감사 (OSV CVE), 의존성 혼동, 번들된 JS 라이브러리, CMS 플러그인 및 --licenses
/sast:triage [path]	STRIDE --threat-model 구축 및 0-FP 실제 전용 게이트에 대한 발견 사항 트리아지
/sast:fix [path]	취약점 교정 (--remediation) 및 --changed로 재검증

서브에이전트

• @agent-sast:security-auditor — 번들된 SAST 스캐너를 실행하고, 소스 파일에서 소스-투-싱크 데이터 흐름을 추적하며, 우선순위가 지정된 취약점 보고서를 생성합니다.
• @agent-sast:remediation-engineer — 최소한의 보안 패치를 작성하고 각 수정 사항을 검증하기 위해 스캐너를 다시 실행합니다.

플러그인 옵션 (userConfig)

Claude Code의 플러그인 구성 대화상자(/plugin → Configure options)를 통해 구성됩니다:

• scan_on_edit (boolean, 기본값 false) — PostToolUse (Write|Edit) 훅 내에서 자동 단일 파일 SAST 스캔을 활성화합니다.
• provider_api_key (string, sensitive: true, 선택 사항) — 독립형 AI 트리아지/교정 diff를 위해 Claude Code의 보안 자격 증명 저장소에 저장되는 선택적 API 키입니다.