Security Audit

Na Security Audit, um agente investiga possíveis falhas no repositório. Outro agente confere cada achado e tenta refutá-lo. Você acompanha o resultado em findings.json, que separa as ocorrências confirmadas das pendentes e refutadas.

Como usar a skill Security Audit

O que preparar

Abra uma cópia local do repositório que deseja auditar e informe a pasta de saída dos relatórios. A Security Audit distingue uma consulta pontual de uma auditoria completa. A auditoria completa usa agentes para investigar e verificar os achados, sem alterar o código analisado.

Passo a passo

1. Defina o alcance e o modo de análise.

   Informe o repositório e quais módulos serão examinados. Uma pergunta sobre um trecho usa o modo de orientação. Para gerar os relatórios completos, solicite explicitamente uma auditoria e escolha uma pasta de saída fora do repositório.

   Resultado esperado: identificação do código, da revisão Git, do alcance e do local dos relatórios antes da investigação.

2. Envie uma solicitação específica.

   Este exemplo trata de uma API local de documentos. Substitua os dois caminhos pelos diretórios da sua máquina.

   Use security-audit para uma auditoria completa de /projetos/api-documentos, limitada à autenticação e ao acesso aos documentos. Grave os relatórios em /relatorios/api-documentos. Analise o código sem alterá-lo e não acesse serviços publicados. Registre separadamente o que ficar sem validação.

   Resultado esperado: um plano de cobertura para os módulos indicados. As partes fora desse alcance devem permanecer identificadas como não examinadas.

3. Confira as condições de execução.

   A inspeção do código é somente leitura. Para executar testes ou reproduções, a skill exige um sandbox com isolamento de rede, limites de recursos e escrita restrita. Sem essas condições, ela deve registrar o que falta para validar o caso, sem executar o código analisado no ambiente comum.

   Resultado esperado: achados com comprovação no código e nas verificações permitidas. Um comportamento que depende de serviços externos permanece pendente de validação.

4. Leia os relatórios e separe os estados.

   Comece por REPORT.md, consulte os detalhes em FINDINGS-DETAIL.md e veja as pendências em NEEDS-VALIDATION.md. Os registros também ficam em findings.json, acompanhados da cobertura em coverage-ledger.json.

   Resultado esperado: problemas confirmados com localização e correção proposta, casos rejeitados e casos ainda sem validação. A auditoria descreve as correções, mas não altera o código nem comprova a ausência de outras falhas.