sast-skills

Se recomienda Claude Code con Opus para mayor calidad; cualquier modelo capaz funciona.

⚡ Inicio rápido

npx sast-skills install   # pick your assistant(s) — ones found on your PATH are pre-enabled

Luego abre el proyecto en tu asistente y escribe el prompt:

Ejecutar escaneo de vulnerabilidades

Ejecuta las cuatro fases y escribe los hallazgos en sast/. Agréguelos con npx sast-skills export --format sarif para GitHub Code Scanning, o --format oscal para evidencia de cumplimiento NIST OSCAL.

📑 Tabla de contenidos

• ✨ Características destacadas
• 🔄 Flujo
• 🔍 Qué detecta
• 📦 Instalación
• 🚀 Ejecutar un escaneo
• 🔌 Integraciones CI
• 🩺 Verificar y solucionar problemas
• 🤝 Contribuciones
• 📄 Licencia

✨ Características destacadas

• 68 habilidades en 64 clases de vulnerabilidades — inyección (incl. XPath, lenguaje de expresiones, fórmula CSV, variantes de bomba XML), control de acceso roto, profundidad de API y sesión (limitación de tasa, OAuth/OIDC, fijación de sesión, rutas ocultas), criptografía débil, manejo de archivos, cadena de suministro, riesgos de CI/CD y metadatos en la nube, lógica de negocio y abuso de pagos, seguridad agéntica/MCP (envenenamiento de configuración de habilidades, envenenamiento de herramientas MCP, configuración como ejecución, identidad de agente con privilegios excesivos), y tiempo de ejecución de LLM/agente (agencia excesiva, aislamiento RAG, llamadas inseguras a herramientas, envenenamiento de memoria, denegación de billetera), además de un enrutador de pila tecnológica.
• Orquestación de cuatro fases — reconocimiento → detección paralela → informe consolidado → triaje basado en evidencia, impulsado completamente desde CLAUDE.md / AGENTS.md.
• Idempotente y reanudable — cada fase omite trabajo cuyo resultado ya existe; vuelve a ejecutar después de corregir problemas para actualizar solo lo que está desactualizado.
• Salida legible por máquina — cada habilidad emite JSON canónico; sast-skills export agrega a JSON, SARIF 2.1.0, o HTML para GitHub Code Scanning y CI.
• Salida lista para cumplimiento — los mismos hallazgos se exportan como NIST OSCAL 1.2.3: un documento assessment-results (SAR) o un plan-of-action-and-milestones (POA&M), con cada hallazgo mapeado a los controles NIST SP 800-53 Rev 5 que pone en duda.
• Multi-asistente — habilidades idénticas se envían para Claude Code (.claude/skills) y cada asistente AGENTS.md (.agents/skills).
• CLI sin configuración — install / update / uninstall / doctor / export, publicado desde GitHub Actions con procedencia npm (atestación SLSA).

🔄 Flujo

El orquestador ejecuta cuatro fases — reconocimiento, detección paralela, síntesis y triaje:

flowchart TD
    U(["User: Run vulnerability scan"]) --> R{"CLAUDE.md / AGENTS.md orchestrator"}
    R --> S1["Step 1 — sast-analysis<br/>codebase and architecture map"]
    S1 -->|sast/architecture.md| S2["Step 2 — parallel vulnerability scan<br/>64 skills: recon, batched verify, merge"]
    S2 -->|sast/*-results.md and *-results.json| S3["Step 3 — sast-report<br/>consolidate and rank"]
    S3 -->|sast/final-report.md| S4["Step 4 — sast-triage<br/>false-positive elimination,<br/>severity adjustment with evidence"]
    S4 -->|sast/final-report-triaged.md and triaged.json| EXP["npx sast-skills export<br/>JSON, SARIF, HTML, OSCAL"]
    EXP --> CS(["GitHub Code Scanning, CI, dashboards"])
    EXP --> GRC(["OSCAL SAR / POA&M for GRC"])

Cada paso es idempotente: si su archivo de salida ya existe, el orquestador lo omite. Vuelve a ejecutar el escaneo después de corregir problemas para actualizar solo lo que está desactualizado.

🔍 Qué detecta

Todas las habilidades siguen el mismo patrón de tres fases: reconocimiento → verificación por lotes (subagentes paralelos, 3 por lote) → fusión. Cada una escribe un informe markdown legible por humanos y un archivo JSON canónico de hallazgos que sast-skills export agrega.

Reconocimiento y síntesis

Inyección

Control de acceso y autenticación

Archivos, criptografía y tiempo de ejecución

Exposición de datos y cadena de suministro

Lógica de negocio y específicas de LLM

Seguridad agéntica y MCP

La superficie de ataque de la era 2026 que la mayoría de los escáneres de firmas pasan por alto — manipulación de lenguaje natural, envenenamiento de herramientas MCP, configuración como ejecución e identidades de agente con privilegios excesivos. Estas habilidades usan un paso de verificación impulsado por LLM, no coincidencia de regex.

Tiempo de ejecución de LLM y agente

Comportamiento en tiempo de ejecución de aplicaciones LLM y de agente — autoridad de herramientas, aislamiento de recuperación, higiene de secretos en prompts, confianza en memoria y límites de costo. El enrutador de pila tecnológica los controla para que nunca se ejecuten en códigos base sin dependencias LLM/agente.

📦 Instalación

npx sast-skills install

El instalador muestra una selección múltiple de los 14 asistentes compatibles (más Todos los anteriores) y pregunta si instalar en el proyecto actual o en el directorio de inicio del usuario (project / global). Para omitir prompts, pasa una lista separada por comas de IDs de asistentes (o all):

npx sast-skills install --yes --assistant claude,cursor,copilot --scope project

Si tu proyecto ya contiene un CLAUDE.md o AGENTS.md, el instalador se niega a sobrescribirlo por defecto — haz una copia de seguridad o pasa --force.

git clone https://github.com/mstfknn/sast-skills.git

sast-files/
├── CLAUDE.md                       # Orchestrator entry for Claude Code
├── AGENTS.md                       # Orchestrator entry for Gemini CLI / Codex / OpenCode / Cursor
├── .claude/skills/sast-*/SKILL.md  # 68 skills in Claude Code format
└── .agents/skills/sast-*/SKILL.md  # Same 68 skills mirrored for AGENTS.md assistants

export SAST_SRC=/absolute/path/to/sast-skills
cd /path/to/your-project

cp "$SAST_SRC/sast-files/CLAUDE.md" ./CLAUDE.md
cp -R "$SAST_SRC/sast-files/.claude" ./

mkdir -p ~/.claude/skills
cp -R "$SAST_SRC/sast-files/.claude/skills/." ~/.claude/skills/
# Then in any project where you want the scan flow:
cp "$SAST_SRC/sast-files/CLAUDE.md" /path/to/your-project/CLAUDE.md

export SAST_SRC=/absolute/path/to/sast-skills
cd /path/to/your-project
cp "$SAST_SRC/sast-files/AGENTS.md" ./AGENTS.md
cp -R "$SAST_SRC/sast-files/.agents" ./

# Project scope (Claude Code)
ls CLAUDE.md && ls .claude/skills/ | head

# Project scope (Gemini / AGENTS.md)
ls AGENTS.md && ls .agents/skills/ | head

# Global scope (Claude Code)
ls ~/.claude/skills/ | head

cd "$SAST_SRC" && git pull
# Re-run the cp commands from Step 2a / 2b to refresh — they're idempotent.

Comandos CLI

Banderas de instalación

🚀 Ejecutar un escaneo

Después de instalar, abre el proyecto en tu asistente de IA y pregunta:

Ejecutar escaneo de vulnerabilidades

o

Encontrar vulnerabilidades en este código base

El orquestador toma el control. Ejecuta las cuatro fases automáticamente, respeta la idempotencia (las re-ejecuciones solo detectan lo que falta) y escribe todo en sast/ en la raíz de tu proyecto.

Archivos de salida

Esquema de hallazgos

Cada habilidad escribe sast/<skill>-results.json como una lista de hallazgos simple:

{
  "findings": [
    {
      "id": "sast-sqli-0001",
      "skill": "sast-sqli",
      "severity": "critical|high|medium|low|info",
      "title": "SQL injection in /api/user",
      "description": "…",
      "location": { "file": "src/api/user.js", "line": 42, "column": 10 },
      "remediation": "…"
    }
  ]
}

sast-skills export agrega esos archivos en un documento envuelto en un sobre run — { "run": { "tool": "sast-skills", "version": "<cli-version>" }, "findings": [...] } — sellando la versión de la CLI que produjo el informe. El paso de triaje escribe sast/triaged.json en esa misma forma envuelta.

Los hallazgos triados agregan triage_status (confirmed|upgraded|downgraded|false_positive), triage_original_severity (cuando la severidad cambió) y triage_evidence con citas concretas del código base.

Cada campo anterior se traslada a la exportación OSCAL; consulta NIST OSCAL para el mapeo campo por campo.

🔌 Integraciones de CI

GitHub Code Scanning (SARIF)

Acción compuesta en .github/actions/scan/action.yml:

- uses: mstfknn/sast-skills/.github/actions/scan@main
  with:
    input: sast/
    output: sast-skills.sarif

Esto ejecuta sast-skills export --format sarif y sube el resultado a Code Scanning mediante github/codeql-action/upload-sarif@v3.

NIST OSCAL (evidencia de cumplimiento)

Para plataformas GRC, evidencia de auditoría e informes de línea base de control, exporta los mismos hallazgos como OSCAL — el Lenguaje de Evaluación de Controles de Seguridad Abiertos de NIST. Los documentos declaran oscal-version 1.2.3 y se validan contra los esquemas JSON publicados por NIST en CI.

# Security Assessment Results (SAR) — a point-in-time record of what was found
npx sast-skills export --input sast/ --triaged --format oscal --output sast-skills-sar.json

# Plan of Action and Milestones (POA&M) — the remediation backlog
npx sast-skills export --input sast/ --triaged --format oscal-poam --output sast-skills-poam.json

En GitHub Actions, los documentos OSCAL son artefactos de flujo de trabajo en lugar de cargas de Code Scanning — Code Scanning habla SARIF, las plataformas GRC hablan OSCAL, por lo que ambos se ejecutan en paralelo:

- uses: mstfknn/sast-skills/.github/actions/scan@main   # SARIF → Code Scanning
  with:
    input: sast/
    output: sast-skills.sarif

- name: Export OSCAL
  run: |
    npx sast-skills@latest export --input sast/ --triaged --format oscal      --output sast-skills-sar.json
    npx sast-skills@latest export --input sast/ --triaged --format oscal-poam --output sast-skills-poam.json

- uses: actions/upload-artifact@v4
  with:
    name: oscal
    path: sast-skills-*.json

Cómo se mapea un hallazgo. OSCAL separa la evidencia del riesgo y del veredicto de cumplimiento, por lo que cada hallazgo de sast-skills se expande en tres objetos vinculados:

Mapeo de controles. Cada habilidad de detección se mapea a los controles de NIST SP 800-53 Rev 5 cuyo objetivo sus hallazgos ponen en duda — sast-sqli → si-10, sast-crypto → sc-13/sc-28, sast-missingauth → ac-3/ac-6/ia-2, y así sucesivamente. Esos IDs pueblan reviewed-controls y el target-id de cada hallazgo. La tabla completa vive en src/oscal-controls.js; una habilidad sin mapear cae en ra-5 (Monitoreo y Escaneo de Vulnerabilidades) en lugar de descartarse.

La semántica del triaje difiere según el modelo. En el SAR, un hallazgo triado como falso positivo permanece en el documento como un riesgo cerrado — evidencia de que el escáner lo consideró y lo resolvió. En el POA&M se omite por completo, porque un POA&M es una lista de trabajo aún pendiente.

Identificadores estables. Todos los UUID son RFC 4122 v5, derivados del contenido propio del hallazgo (habilidad, archivo, línea, título). Re-exportar un directorio sast/ sin cambios produce un documento byte-idéntico aparte de las marcas de tiempo de ejecución, por lo que la salida OSCAL es segura para confirmar y comparar entre escaneos.

Gancho de pre-commit

Copia hooks/pre-commit en .git/hooks/pre-commit para que sast-skills doctor controle cada confirmación.

Docker

docker build -t sast-skills .
docker run --rm -v "$PWD:/work" sast-skills export --input sast/ --format sarif --output report.sarif

El Dockerfile incluido es basado en node:20-alpine con sast-skills establecido como punto de entrada.

🩺 Verificar y solucionar problemas

# Is the install in the expected shape?
npx sast-skills doctor --target . --assistant claude

# Version check
npx sast-skills --version
npm view sast-skills version    # latest on the registry

# Upgrade
npx sast-skills update

doctor sale con 0 si cada archivo incluido en el destino coincide con la copia de la versión instalada, y con 1 si algún archivo está MISSING o MODIFIED. MODIFIED significa que el archivo divergió de la copia incluida — esperado si editas el archivo de entrada, de lo contrario es una señal para ejecutar update.

🤝 Contribuciones

Consulta CONTRIBUTING.md. Bucle de desarrollo:

npm install
npm test                                  # vitest suite (TDD-guard enabled; count shown in the tests badge)
npm run sync                              # mirror .claude/skills → .agents/skills
node scripts/scaffold-skill.js sast-foo   # stub a new skill in both trees
node scripts/register-skill.js sast-foo foo "Foo" "Foo injection description"
npm run lint:md                           # markdownlint

prepublishOnly ejecuta npm run sync && npm test — un espejo sucio o una prueba en rojo aborta npm publish.

• Estándares comunitarios: CODE_OF_CONDUCT.md
• Historial de versiones: CHANGELOG.md

📄 Licencia

MIT — consulta LICENSE.