AI проверит зависимости проекта на скрытые угрозы Supply Chain Risk Auditor — open-source Skill от команды кибербезопасности Trail of Bits для Claude Code и Codex.

Он помогает обнаруживать риски в сторонних библиотеках, которые обычная проверка уязвимостей может пропустить.

Что проверяет: • Известные уязвимости с учётом конкретных версий пакетов. • Заброшенные библиотеки, которые давно не поддерживаются. • Зависимость от одного разработчика или издателя пакетов. • Установочные скрипты, способные выполнять команды при установке.

Поддерживаются PyPI, npm и Go.

💡 Пример применения

У тебя Python-проект с десятками библиотек. Перед обновлением зависимостей попроси Codex проверить их происхождение, известные уязвимости и потенциально опасные установочные скрипты.

Так можно выявить рискованные пакеты до обновления рабочего сервера.

Установка для Codex:

codex plugin marketplace add trailofbits/skills

codex plugin add supply-chain-risk-auditor@trailofbits

Для Claude Code:

/plugin marketplace add trailofbits/skills

Затем выбери supply-chain-risk-auditor через /plugin menu.

Попробуй запрос: «Проверь зависимости этого проекта с помощью supply-chain-risk-auditor. Выдели критические риски, укажи конкретные пакеты и версии, предложи безопасные альтернативы. Ничего не обновляй автоматически».

⚠️ Аудит помогает находить риски, но не гарантирует отсутствие вредоносного кода. Подозрительные результаты требуют дополнительной проверки.

🔗 GitHub: https://github.com/trailofbits/skills Лицензия CC BY-SA 4.0.