👨‍💻Официальный плагин claude-security от Anthropic

У claude вышел официальный плагин claude-security для поиска дыр проекта. Ставится легко, жрет токены за семерых. Установка:

/plugin install claude-security@claude-plugins-official
/reload-plugins

По доке рекомендуют запускать через /claude-security:scan, но тогда получите

The bare /claude-security:scan command was invoked without arguments, so there's nothing for me to run.

➡️ На практике:
Запуск через /claude-security:claude-security
Дальше он предложит варианты, что сканировать и запустит скан

Из интересного:
Каждую находку отдает верификаторам с задачей её опровергнуть. В итоговый отчет попадает только самое важное, без "потенциальных дыр". По итогу получите .md файл с находками


➡️ У меня, например, нашел классическую дыру мобильных приложений:

🟢ссылка в вебвью или по диплинку открывается без единой проверки. Никакого allow list или сверки хоста. Можно подсунуть любой адрес, а если в вебвью ещё и заголовки подкладываются, то вместе с переходом можно угнать и Bearer-токен


➡️ Итог: плагин полезный, прогнать проект стоит. Находит то, на что редко обращают внимание при разработке.
Да и вам будет жирный + за внимание к безопасности

Нюанс - Anthropic честно предупреждают, что сканы недетерминированные: два прогона по одному коду дадут разные находки