EN CLAIR
À quoi sert ce skill ?
Semgrep est le processus d’analyse de sécurité de Trail of Bits soumis à approbation. Il détecte les langages, propose les ensembles de règles officiels et tiers exacts, désactive la télémétrie, exécute les analyses approuvées par lots et rassemble les résultats auditables dans SARIF tout en consignant les échecs et les couvertures omises.
- Planifier l’analyseDétectez les langages et choisissez une couverture complète ou limitée aux éléments importants.
- Approuver les ensembles de règles exactsPrésentez la cible, le moteur, le mode et chaque ensemble de règles avant l’exécution.
- Rassembler des résultats auditablesConservez les analyses brutes et signalez les couvertures échouées, omises ou vides.
- Les commandes désactivant la télémétrie et un plan explicite réduisent le risque de divulguer accidentellement le code source.
- Combine des règles multilingues rapides avec une analyse Pro facultative entre plusieurs fichiers.
Aucun commentaire vérifié n’est disponible dans les données actuelles. Consultez la source indiquée pour les discussions récentes.
Lire la source ↗INSTALLER SELON L’AGENT
Choisir votre agent
Les chemins proviennent de la documentation officielle des agents ou de l’installateur universel utilisé par skills.sh. La compatibilité dépend toujours de la fiche du skill.
npx skills add trailofbits/skills --skill semgrep --agent claude-codenpx skills add trailofbits/skills --skill semgrep --agent claude-code -gL’installation dans le projet reste dans ce dépôt et peut être partagée avec l’équipe. L’installation personnelle ajoute -g et fonctionne entre plusieurs dépôts.
Voir les chemins d’installation
.claude/skills/semgrep/~/.claude/skills/semgrep/Claude Code détecte automatiquement les dossiers de skills personnalisés dans le projet ou le répertoire personnel.
Voir la source du chemin ↗PROCESSUS TYPIQUE
Des usages concrets
Planifier l’analyse
Détectez les langages et choisissez une couverture complète ou limitée aux éléments importants.
Approuver les ensembles de règles exacts
Présentez la cible, le moteur, le mode et chaque ensemble de règles avant l’exécution.
Rassembler des résultats auditables
Conservez les analyses brutes et signalez les couvertures échouées, omises ou vides.
AVANTAGES ET LIMITES
Ce qu’il apporte et ses limites
Points forts
- Les commandes désactivant la télémétrie et un plan explicite réduisent le risque de divulguer accidentellement le code source.
- Combine des règles multilingues rapides avec une analyse Pro facultative entre plusieurs fichiers.
Limites
- Nécessite Semgrep et un accès réseau pour le registre ou les règles tierces ; l’analyse Pro entre fichiers peut ne pas être disponible.
- La couverture des ensembles de règles ne prouve pas la sécurité de l’application, et des échecs partiels peuvent créer des angles morts.
PUBLIC CONCERNÉ
Pour qui ?
Équipes de sécurité qui ont besoin d’une première analyse de code contrôlée
Développeurs qui produisent du SARIF vérifiable avant une revue de code
AVANT UTILISATION
Risques à examiner
Règles tierces et exposition du code source
Le processus peut cloner des règles externes et des moteurs facultatifs peuvent communiquer avec des services. Examinez le plan, gardez les métriques désactivées et n’analysez pas de code sensible avec un accès réseau non approuvé.
SÉCURITÉ
Comprendre les permissions
- Vérifiez que chaque commande conserve --metrics=off et respecte le périmètre de cible approuvé.
- Signalez les ensembles de règles échoués ou omis au lieu de présenter une analyse partielle comme sans anomalie.
Aucune certification de sécurité. Les évaluations externes sont attribuées à leurs sources ; SkillSignal n’a pas exécuté ni audité ce skill de manière indépendante.
DANS LE PAQUET
Fichiers répertoriés
MOTS-CLÉS
Fiche éditoriale originale de SkillSignal fondée sur le commit 32e34f81 de Trail of Bits, vérifiée le 2026-09-23 ; elle n’a pas été exécutée ni certifiée de façon indépendante en matière de sécurité.