[scope] Phạm vi audit
Glob file, thư mục hoặc `full` tùy chọn. Bỏ trống thì quét root project hiện tại. Giữ phạm vi trong ranh giới tin cậy liên quan trừ khi muốn review toàn project.
/ak:security src/auth/ Ctrl K
Tóm tắt nhanh / Lệnh
Bộ Engineer
/ak:security
Đánh giá bảo mật theo mô hình mối đe dọa
Threat-model một phạm vi bằng STRIDE và OWASP, có persona red-team tùy chọn, findings theo severity, che credential và sửa lặp khi được phép.
01
Xác định phạm vi
02
Chạy vòng red-team khi được yêu cầu
03
Quét STRIDE
04
Ánh xạ OWASP
Nguyên tắc 01
Nhóm threat phải được xét có hệ thống, không dựa cảm tính
Nguyên tắc 02
Chế độ red-team suy nghĩ như attacker từ bốn persona khác nhau
Nguyên tắc 03
Finding Critical và High đã xác nhận quyết định thứ tự sửa
Nguyên tắc 04
Vệ sinh credential áp dụng cho mọi mode và persona
Bản đồ thực thi
Các nhánh chính từ đầu vào đến kết quả, bám theo cách command chạy khi dùng thật.
01
Khởi động
Đầu vào, phạm vi, route
- 1 Xác định phạm vi Mở rộng glob hoặc từ khóa `full` thành danh sách file trong phạm vi và đọc code liên quan trước khi phân tích.
- 2 Chạy vòng red-team khi được yêu cầu Với `--red-team`, lặp qua persona security adversary, supply-chain, insider và infrastructure attacker trước lượt quét chuẩn.
02
Xử lý
Agent / skill thực thi
- 3 Quét STRIDE Đánh giá có hệ thống spoofing, tampering, repudiation, information disclosure, denial of service và elevation of privilege.
- 4 Ánh xạ OWASP Ánh xạ issue đã xác thực vào nhóm OWASP Top 10 và lấp khoảng trống coverage bằng checklist tham chiếu.
03
Kiểm chứng
Gate, review, xác thực
- 5 Audit dependency Chạy công cụ audit phù hợp stack như npm audit, pip-audit, govulncheck hoặc bundle audit.
- 6 Tìm và che secret Quét API key, mật khẩu, token và private key, rồi che giá trị credential trước mọi finding hoặc log output.
04
Đóng
Báo cáo, bàn giao, artifact
- 7 Xếp hạng finding Xếp Critical, High, Medium, Low hoặc Info theo khả năng khai thác, nguy cơ data breach/RCE, tác động và độ khẩn của fix.
- 8 Sửa lặp khi được phép Với `--fix`, sắp finding theo severity, sửa từng lỗi mục tiêu, chạy guard, commit và dừng nếu kiểm chứng fail.
Cú pháp, đối số, subcommand
Cách gọi skill: cú pháp, đối số vị trí, option dùng chung, rồi từng subcommand với cú pháp và kết quả riêng.
Cú pháp
/ak:security [scope] [--secrets-only] [--deps-only] [--fix] [--red-team] [--iterations N]Đối số
Option dùng chung
--secrets-only Chỉ secret
Giới hạn lượt chạy vào credential hardcode, API key, private key và pattern secret tương tự, kèm kiểm tra ngữ cảnh local.
/ak:security --secrets-only--deps-only Chỉ dependency
Giới hạn lượt chạy vào audit package được hỗ trợ cho project Node.js hoặc Python đã phát hiện. Tool không có được báo là không có, không xem là sạch.
/ak:security --deps-only--fix Sửa finding
Cho phép sửa cục bộ có mục tiêu sau audit. Mỗi iteration thành công chạy guard và tạo commit local; không cho phép push, PR, merge, release hay deploy.
/ak:security src/ --fix --iterations 15--red-team Khám phá red-team
Thêm khám phá theo persona attacker trước lượt quét STRIDE và OWASP cuối: external adversary, supply-chain, insider và infrastructure.
/ak:security full --red-team--iterations N Giới hạn số vòng
Giới hạn số vòng discovery red-team hoặc fix cho mode đã chọn. `N` do người dùng chọn; source không định nghĩa giới hạn số mặc định.
/ak:security src/ --red-team --iterations 20Mode / route nên dùng
default Chỉ audit
- Nghiên cứu:
- STRIDE + OWASP + deps + secrets
- Review:
- No persona loop
- Xác thực:
- Severity-ranked report
--red-team Khám phá bằng persona
- Nghiên cứu:
- Four attacker personas before final sweep
- Review:
- External, supply-chain, insider, infrastructure
- Xác thực:
- TSV log and report
--fix Audit rồi sửa
- Nghiên cứu:
- Findings sorted Critical through Low
- Review:
- No persona loop unless combined with --red-team
- Xác thực:
- Guard after each targeted fix; stop on failure
--iterations N Vòng lặp hữu hạn
- Nghiên cứu:
- Caps red-team discovery or fix iterations
- Review:
- Caps persona discovery when paired with --red-team
- Xác thực:
- Stops at N iterations
Prompt mẫu
Ví dụ gọi command theo từng flag, subcommand, mode hoặc route dùng được trong workflow thực tế.
Audit API theo phạm vi Khuyến nghị
/ak:security src/api/**/*.ts- Dùng khi:
- Dùng để chạy STRIDE + OWASP theo phạm vi trước release hoặc sau thay đổi xử lý dữ liệu API.
- Kết quả:
- Mở rộng glob API, đọc file trong phạm vi, chạy STRIDE/OWASP, kiểm tra dependency và secret, rồi trả báo cáo xếp theo severity với bằng chứng file:line.
Khám phá red-team toàn bộ
/ak:securityfull--red-team
- Dùng khi:
- Dùng khi cần khám phá theo góc nhìn attacker trên toàn codebase trước lượt quét STRIDE/OWASP cuối.
- Kết quả:
- Chạy vòng khám phá bốn persona, che giá trị credential trong bằng chứng ghi log, nối tiếp finding giữa các persona, rồi lấp khoảng trống bằng lượt quét bảo mật chuẩn.
Red-team có giới hạn
/ak:securitysrc/--red-team--iterations20
- Dùng khi:
- Dùng khi cần khám phá red-team nhưng vòng persona phải có giới hạn số lần lặp.
- Kết quả:
- Giới hạn khám phá persona ở 20 vòng, xác thực mỗi finding bằng bằng chứng file:line và kịch bản tấn công, rồi báo cáo coverage STRIDE/OWASP còn lại.
Vòng sửa có giới hạn
/ak:securitysrc/--fix--iterations15
- Dùng khi:
- Dùng khi được phép sửa finding audit nhưng vòng fix cần số lần lặp tối đa.
- Kết quả:
- Sắp finding theo severity, áp dụng tối đa 15 sửa đổi mục tiêu từng cái một, chạy guard sau mỗi fix và dừng kèm lý do nếu kiểm chứng fail.
Chỉ quét secret
/ak:security--secrets-only
- Dùng khi:
- Dùng khi rủi ro trước mắt là credential, API key, private key hoặc mật khẩu hardcode bị lộ.
- Kết quả:
- Tìm pattern secret, phân biệt placeholder với credential thật, che evidence và khuyên xoay khóa khi secret là thật.
Chỉ audit dependency
/ak:security--deps-only
- Dùng khi:
- Dùng khi chỉ cần kiểm tra cảnh báo dependency cho dự án Node.js hoặc Python.
- Kết quả:
- Chạy audit package phù hợp, coi tool không có là không có chứ không phải sạch, và xếp finding dependency theo mức nghiêm trọng.
Phạm vi xử lý
- Xác định phạm vi
- Chạy vòng red-team khi được yêu cầu
- Quét STRIDE
- Ánh xạ OWASP
- Audit dependency
- Tìm và che secret
Artifact tạo ra
Báo cáo audit bảo mật
Mẫu đường dẫn
Báo cáo trong chat có bảng severity; có thể kèm security-audit-results.tsv khi chạy red-team Số file quét, tổng theo severity, nhóm STRIDE/OWASP, bằng chứng file:line, tác động và khuyến nghị sửa.