القائمة
Usar cuando se escanean vulnerabilidades en dependencias de proyectos (Node, Python, C#, Java, Go, Rust, Ruby) con Trivy fs. Genera SBOM CycloneDX.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
Guide for creating high-quality MCP (Model Context Protocol) servers that enable LLMs to interact with external services through well-designed tools. Use when building MCP servers to integrate external APIs or services, whether in Python (FastMCP) or Node/TypeScript (MCP SDK).
Create new skills, modify and improve existing skills, and measure skill performance. Use when users want to create a skill from scratch, edit, or optimize an existing skill, run evals to test a skill, benchmark skill performance with variance analysis, or optimize a skill's description for better triggering accuracy.
Detecta el Bus Factor por modulo en un repositorio git usando el algoritmo CST(change-size-ratio). Genera JSON con BF, owners, riesgo, y avisa cuando un solo dev conoce un modulo critico.
Genera CONTEXT_DOME.md para modulos con Bus Factor bajo. Captura conocimiento tacito: proposito, decisiones no obvias, dependencias, runbook minimo, knowledge owners y plan de distribucion.
Usar cuando se quiere ejecutar tareas de bajo riesgo de forma autónoma durante la noche.
Mapear la superficie de ataque de un dominio: subdominios, OSINT, typosquatting.
| name | dependency-scanner |
| description | Usar cuando se escanean vulnerabilidades en dependencias de proyectos (Node, Python, C#, Java, Go, Rust, Ruby) con Trivy fs. Genera SBOM CycloneDX. |
| summary | Escanea manifiestos de dependencias con Trivy filesystem mode. Detecta CVEs en npm, pip, nuget, maven, cargo, go.mod, bundler. Genera SBOM CycloneDX JSON como artefacto de release. Bloqueante: CRITICAL/HIGH → exit 1. Informativo: MEDIUM/LOW. Output en output/security/. |
| maturity | stable |
| context | fork |
| context_cost | low |
| category | security |
| tags | ["security","dependencies","trivy","sbom","cve","supply-chain"] |
| priority | high |
| trigger | {"type":"keyword","keywords":["escanea dependencias","vulnerabilidades en paquetes","dep scan","SBOM","supply chain security","CVE en npm","CVE en pip","vulnerabilidades node","vulnerabilidades python","dependency vulnerability"]} |
Si fuiste invocado como subagente para una tarea concreta, ejecuta solo esa tarea, reporta DONE / DONE_WITH_CONCERNS / BLOCKED y retorna.
package*.json, requirements*.txt, *.csproj, etc.Este skill se activa automáticamente cuando se trabaja con:
| Language Pack | Manifiestos escaneados |
|---|---|
| TypeScript/Node | package.json, package-lock.json, yarn.lock |
| Python | requirements.txt, Pipfile, pyproject.toml |
| .NET/C# | *.csproj, packages.config, packages.lock.json |
| Java | pom.xml, build.gradle |
| Go | go.mod, go.sum |
| Rust | Cargo.toml, Cargo.lock |
| Ruby | Gemfile, Gemfile.lock |
# Escanear proyecto
bash scripts/dependency-scan.sh --path ./project/
# Generar SBOM CycloneDX además del report
bash scripts/dependency-scan.sh --path ./project/ --generate-sbom
# Solo CRITICAL (más estricto para CI)
bash scripts/dependency-scan.sh --path ./project/ --severity CRITICAL
# Modo offline (DB ya descargada)
bash scripts/dependency-scan.sh --path ./project/ --skip-update
El script detecta automáticamente el tipo de proyecto buscando manifiestos conocidos. No requiere configuración manual del lenguaje.
Si Trivy no está instalado localmente:
docker run --rm -v "$(pwd):/workspace" aquasec/trivy:latest fs /workspace
El SBOM en formato CycloneDX es un artefacto de release obligatorio para proyectos enterprise. Documenta exactamente qué dependencias incluye el software. Generarlo no requiere conectividad extra (DB local).
output/security/sbom-YYYYMMDD.json ← SBOM CycloneDX
output/security/dep-scan-YYYYMMDD.json ← Report de CVEs
.trivyignore con justificación y fechaVer política completa: docs/rules/domain/dependency-security-policy.md