sast — Plugin do Claude Code (SAST)

Um plugin autônomo do Claude Code (sast) que traz o SAST diretamente para o Claude Code por meio de skills de slash-command, subagentes e hooks de ciclo de vida.

Estrutura do Plugin

sast/
├── .claude-plugin/
│   ├── plugin.json                  # Manifesto do plugin (name: "sast")
│   ├── marketplace.json             # Manifesto do marketplace (name: "sast")
│   └── icon.png                     # Ícone do plugin PNG quadrado 1024x1024
├── skills/
│   ├── scan/
│   │   └── SKILL.md                 # /sast:scan    — Varredura completa SAST + taint + secrets + IaC + SCA
│   ├── diff/
│   │   └── SKILL.md                 # /sast:diff    — Varredura incremental rápida nos arquivos alterados do git
│   ├── secrets/
│   │   └── SKILL.md                 # /sast:secrets — Detecção de segredos + validação de chaves ao vivo + histórico do git
│   ├── sca/
│   │   └── SKILL.md                 # /sast:sca     — CVEs de dependências (OSV), dep confusion, CMS, licenças
│   ├── triage/
│   │   └── SKILL.md                 # /sast:triage  — Modelagem de ameaças, inspeção do gate de FP e triagem de explorabilidade
│   └── fix/
│       └── SKILL.md                 # /sast:fix     — Diffs de remediação automática e verificação pós-patch
├── agents/
│   ├── security-auditor.md          # @agent-sast:security-auditor
│   └── remediation-engineer.md      # @agent-sast:remediation-engineer
├── hooks/
│   └── hooks.json                   # PostToolUse (Write|Edit) tripwire de segredos e varredura opcional de arquivo único
├── scripts/
│   ├── sast_runner.py               # Runner SAST autônomo empacotado e formatador de resumo do Claude
│   └── post_edit_check.py           # Manipulador rápido do hook PostToolUse
└── README.md

Início Rápido

Instalar a partir do GitHub Marketplace (Recomendado)

claude plugin marketplace add vulnz/sast
claude plugin install sast@sast

Ou dentro de uma sessão interativa do Claude Code:

/plugin marketplace add vulnz/sast
/plugin install sast@sast

Validar o Plugin Localmente

claude plugin validate .

Slash Commands (Skills)

Comando	Descrição
/sast:scan [path]	Varredura completa SAST + AST/taint (16+ linguagens) + secrets + IaC + SCA
/sast:diff [path]	Varredura SAST incremental rápida dos arquivos modificados, em stage e não rastreados do git (--changed)
/sast:secrets [path]	Varre a árvore de trabalho e o --git-history em busca de credenciais embutidas no código com validação de chaves de provedor ao vivo
/sast:sca [path]	Audita dependências (CVEs do OSV), dependency confusion, bibliotecas JS empacotadas, plugins de CMS e --licenses
/sast:triage [path]	Constrói o STRIDE --threat-model e faz a triagem dos achados contra o gate de 0-FP somente reais
/sast:fix [path]	Remedia vulnerabilidades (--remediation) e reverifica com --changed

Subagentes

• @agent-sast:security-auditor — Executa o scanner SAST empacotado, rastreia fluxos de dados de origem a destino (source-to-sink) nos arquivos-fonte e produz relatórios de vulnerabilidades priorizados.
• @agent-sast:remediation-engineer — Cria patches de segurança mínimos e reexecuta o scanner para verificar cada correção.

Opções do Plugin (userConfig)

Configuradas por meio do diálogo de configuração de plugins do Claude Code (/plugin → Configure options):

• scan_on_edit (boolean, padrão false) — Habilita a varredura SAST automática de arquivo único dentro do hook PostToolUse (Write|Edit).
• provider_api_key (string, sensitive: true, opcional) — Chave de API opcional armazenada no armazenamento seguro de credenciais do Claude Code para diffs autônomos de triagem/remediação por IA.