owasp/secure-agent-playbookOWASP Secure Agent Playbook Project
Открытый сборник правил безопасности для AI-агентов. Структурированные процедуры на основе OWASP, позволяющие агентам выполнять задачи по обеспечению безопасности — от проверки кода до аудита безопасности AI-агентов.
Без сборника правил запрос к AI-агенту «проверь мой код на безопасность» даёт поверхностный чек-лист. С этими правилами агент следует структурированной процедуре на основе OWASP — систематически проверяя каждый класс уязвимостей, формируя результаты с сопоставлением CWE, перекрёстными ссылками OpenCRE, фрагментами доказательств и конкретным кодом исправления.
Это не фреймворк и не библиотека. Здесь нет кода для импорта.
Каждое правило (play) — это пошаговая процедура безопасности с чек-листами, критериями принятия решений и шаблонами вывода. AI-агент следует процедуре, чтобы получить согласованные, основанные на доказательствах результаты. Представьте это как сборник правил аналитика SOC — но написанный для выполнения AI-агентами.
С Claude Code (рекомендуется):
Шаг 1 — Зарегистрируйте маркетплейс плагинов:
/plugin marketplace add OWASP/secure-agent-playbook
Шаг 2 — Установите набор навыков:
/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook
Шаг 3 — Используйте навыки, упомянув задачу в разговоре:
"Review this code for security issues"
"Scan my dependencies for CVEs"
"Audit this MCP server configuration"
"Test this chatbot for prompt injection"
Claude автоматически активирует соответствующий навык в зависимости от контекста. См. Каталог навыков для всех доступных навыков и Пример вывода для примера результатов.
Плагин для организации — Для администраторов организации Claude, устанавливающих через Organization Plugins:
secure-agent-playbook.zip из ресурсов релизаПримечание: Не используйте кнопку «Download ZIP» на GitHub — она вкладывает файлы в подкаталог, который отклоняется валидатором плагинов. Всегда используйте zip из ресурсов релиза.
Навыки для организации — Для администраторов организации Claude, загружающих отдельные навыки в Organization settings > Skills:
web-security-review.zip)Примечание: Загрузка навыков отклоняет zip-файлы с более чем 200 файлами, поэтому полный
secure-agent-playbook.zipнельзя загрузить туда — используйте zip-файлы для отдельных навыков. Чтобы собрать их из клона, запуститеscripts/package_skills.shи загрузите изdist/skills/.
Локальная разработка — Чтобы протестировать из локального клона вместо GitHub:
/plugin marketplace add /path/to/agent-security-playbook
/plugin install code-security-skills@agent-security-playbook
/plugin install ai-security-skills@agent-security-playbook
Без Claude Code:
Используйте правила напрямую как процедуры для любого AI-агента или ручного применения:
plugins/ai-security-skills/plays/agent-security-audit.md»code-security-skills)| Навык | Что делает | Скажите это | Ссылка OWASP |
|---|---|---|---|
code-review-security | Проверка безопасности кода с сопоставлением с Top 10 + ASVS | "Review this code for security issues" | Top 10, ASVS |
sca-audit | Сканирование CVE в зависимостях с анализом достижимости | "Scan my dependencies for CVEs" | A06:2021 |
secrets-scan | Обнаружение жёстко закодированных учётных данных и API-ключей | "Scan for hardcoded secrets" | CWE-798 |
api-security-review | Проверка API на соответствие OWASP API Top 10 (2023) | "Review this API for security" | API Top 10 |
web-security-review | Проверка веб-приложения на соответствие OWASP Top 10 (2021) | "Review this web app for OWASP Top 10" | Top 10 |
mobile-code-review | Проверка исходного кода нативного Android/iOS на соответствие OWASP MASVS v2.1.0 | "Review this mobile app for security" | MASVS v2.1.0 |
iac-security-review | Безопасность IaC (Terraform, K8s, CloudFormation) | "Review this Terraform for security" | CIS Benchmarks |
securability-engineering | Генерация изначально защищаемого кода (FIASSE v1.0.4) | "Generate secure code for..." | FIASSE v1.0.4 |
securability-engineering-review | Оценка защищаемости кода (оценка SSEM 0-10) | "Assess the securability of this code" | FIASSE v1.0.4/SSEM |
prd-securability-enhancement | Усиление PRD/спецификаций с покрытием ASVS и требованиями FIASSE SSEM до написания кода | "Harden this PRD" / "Map features to ASVS" | ASVS, FIASSE v1.0.4 |
security-guidance | Автоматически запускаемое руководство ASVS для кода, чувствительного к безопасности | (auto-triggered) | ASVS 5.0 |
ai-security-skills)| Навык | Что делает | Скажите это | Ссылка OWASP |
|---|---|---|---|
agent-security-audit | Аудит разрешений агента, поверхностей инъекций, путей утечки данных | "Audit this agent's security" | LLM Top 10 |
llm-risk-assess | Оценка LLM-приложения на соответствие LLM Top 10 2025 | "Assess LLM risks for this app" | LLM Top 10 |
agentic-ai-risk-assess | Оценка агентного приложения на соответствие Top 10 Agentic 2026 | "Assess agentic AI risks" | Agentic Top 10 |
mcp-server-review | Проверка безопасности MCP-сервера | "Review this MCP server" | LLM Top 10 |
prompt-injection-test | Тестирование на prompt injection (Arcanum PI Taxonomy) | "Test for prompt injection" | LLM01 |
multi-agentic-threat-model | Моделирование угроз по 7-слойной модели CSA MAESTRO | "Model threats for this multi-agent system" | CSA MAESTRO |
ai-security-verification | Верификация AI-приложения на соответствие OWASP AISVS (13 категорий) | "Verify this AI app against AISVS" | AISVS |