security-auditGitHub
Menu

Roadmapa

Bez dat. Każda pozycja ma jedno zdanie o tym, co zyskujesz, i jedno o tym, po czym poznamy, że jest gotowa. Zmiany śledzisz na GitHubie, a propozycje i pull requesty są mile widziane.

Budujemy to publicznie: krótkie standupy z postępów lecą na kanale YouTube @SecurityAuditDev.

Trzy zasady: profil dla stacku wychodzi dopiero z własną aplikacją testową i wynikiem na niej; wynik narzędzia deterministycznego jest kandydatem dla audytora, nigdy znaleziskiem bez weryfikacji w kodzie; nic w skillu nie opisuje ani nie symuluje ataków.

Teraz W pracy.

  1. R32

    Błędy użycia kryptografii i tokenów

    Pierwsza w kolejce po wynikach z 26 października 2026.

    Pomylenie klucza z algorytmem, puste klucze, alg brany z tokena, none, walidacja claimów na payloadzie innym niż obiekt, porównania niestałoczasowe, słaba losowość, powtórzone IV/nonce. W benchmarku na fast-jwt skill znalazł 1 z 3 advisory: łapie błędy uprawnień i przepływu, słabiej użycie API kryptograficznych.

    Gotowe, gdy: fast-jwt 6.2.4: 3/3 w dwóch przebiegach, kontrola 6.3.1 bez trafień w pułapkę, recall Ledgerly bez spadku.

  2. R05Zmergowane

    Profil PHP: Laravel, Symfony, Drupal

    Następna w kolejce do punktowanego przebiegu benchmarku.

    Wejścia z routingu, zapytania Eloquent i Doctrine bez zakresu, composer audit, taint w Psalm.

    Gotowe, gdy: Własna aplikacja testowa i wynik na niej.

    Zmergowane 8 października 2026, czeka na benchmark · pull request na GitHubie

  3. R02Zmergowane

    Profil Supabase i Firebase

    Reguły RLS, polityki storage, klucze service-role w kliencie, reguły Firestore. Najczęstszy stack obok Next.js.

    Gotowe, gdy: Profil ma własną aplikację testową z ukrytymi błędami i wynik na niej.

    Zmergowane 8 października 2026, czeka na benchmark · pull request na GitHubie

  4. R23Zmergowane

    Wyczerpanie zasobów i koszty

    Nieograniczone zapytania, uploady, kolejki i workery; płatne API (SMS, e-mail, AI), które może uruchomić anonim.

    Gotowe, gdy: Punkty na checkliście i ukryty błąd w aplikacji testowej, z wynikiem.

    Zmergowane 15 października 2026, czeka na benchmark · pull request na GitHubie

  5. R24Zmergowane

    Cykl życia danych

    Izolacja klientów w cache, wyszukiwarce i eksportach; usuwanie danych, które pomija kopie, pliki albo dane pochodne; przywracanie, które wskrzesza usunięte osoby.

    Gotowe, gdy: Punkty na checkliście i ukryty błąd w aplikacji testowej, z wynikiem.

    Zmergowane 15 października 2026, czeka na benchmark · pull request na GitHubie

  6. R25Zmergowane

    Sprawdzenia po stronie przeglądarki

    Wstrzyknięcia w DOM, zaufanie do postMessage, prototype pollution, clickjacking.

    Gotowe, gdy: Punkty na checkliście i ukryty błąd w aplikacji testowej, z wynikiem.

    Zmergowane 15 października 2026, czeka na benchmark · pull request na GitHubie

  7. R15Zmergowane

    Audyt na każdy pull request

    Bezobsługowo, w CI: przykładowy workflow GitHub Actions audytuje katalogi zmienione w PR i zostawia jeden komentarz z wynikiem.

    Gotowe, gdy: Jeden nagrany przebieg od początku do końca na prawdziwym pull requeście.

    Zmergowane 15 października 2026, czeka na jeden nagrany przebieg na prawdziwym pull requeście · pull request na GitHubie

Następne Zaraz po tym, co wyżej.

  1. R06Zmergowane

    Profil Python: Django, FastAPI, Flask

    Zapytania ORM bez zakresu, bandit, pip-audit.

    Gotowe, gdy: Własna aplikacja testowa i wynik na niej.

    Zmergowane 8 października 2026, czeka na benchmark · pull request na GitHubie

  2. R07Zmergowane

    Narzędzia deterministyczne we wstępnym skanie

    semgrep z regułami pod stack, zizmor dla GitHub Actions, hadolint i trivy dla Dockerfile i obrazów. Ich wyniki są kandydatami dla audytorów, nigdy znaleziskami bez weryfikacji w kodzie.

    Gotowe, gdy: Każde narzędzie działa natywnie albo przez docker, uczciwie zgłasza „nie uruchomione”, a jego trafienia pojawiają się jako kandydaci.

    Zmergowane 8 października 2026, czeka na pierwszy przebieg z narzędziami zainstalowanymi na maszynie benchmarku · pull request na GitHubie

Później Zaplanowane, bez kolejności.

  1. R09 · R10

    Profil Go i profil Rust

    gosec i obsługa błędów; cargo-audit i unsafe.

    Gotowe, gdy: Własne aplikacje testowe i wyniki na nich.

  2. R13

    Tańsze audytory

    Pomiar na benchmarku, czy audytorzy mogą działać na lżejszym modelu bez utraty wykrywalności.

    Gotowe, gdy: Liczba jest opublikowana, niezależnie od tego, co pokaże.

  3. R26Zmergowane

    Dowolny agent

    Instalacja i uruchomienie poza Claude Code (skills CLI), z tym samym raportem.

    Gotowe, gdy: Benchmark przechodzi od początku do końca w co najmniej jednym innym agencie, wynik opublikowany.

    Zmergowane 17 października 2026, czeka na benchmark od początku do końca w innym agencie (najpierw OpenCode) · pull request na GitHubie

Pomysły Bez zobowiązań.

  1. R30Zmergowane

    Mini benchmarki na prawdziwych podatnościach

    Krótkie audyty prawdziwych modułów w wersji sprzed publicznej poprawki (np. moduł Drupala z opublikowanym advisory) i sprawdzenie, czy skill znajduje opisaną dziurę. Tylko defensywnie, na publicznych advisory.

    Zmergowane 20 października 2026, pierwsze przebiegi zrobione, wyniki w sekcji Na prawdziwych podatnościach · pull request na GitHubie

  2. R16

    Profil Ruby on Rails

    brakeman.

  3. R18

    Druga, niepublikowana aplikacja testowa

    Do mierzenia zmian w skillu bez ryzyka, że trafiła do danych treningowych.

  4. R27

    Kod natywny i bezpieczeństwo pamięci

    C, C++, unsafe w Rust. Szerzej niż web, do którego skill powstał.

  5. R28

    Mobile i lokalne IPC

    Deep linki, webview, eksportowane komponenty.

  6. R29

    Protokoły i RPC

    gRPC, kolejki, brokery, streaming.

Zrobione

  1. R17✓ Gotowe

    audit-live

    Czas każdej fazy, widok per audytor, koszt sesji i zajętość kontekstu w panelu postępu.

    Wdrożone 15 października 2026 · pull request na GitHubie

  2. R14✓ Gotowe

    Lista kontrolna produkcji

    Generowana z sekcji „nie sprawdzone”: nagłówki, limity, zmienne środowiskowe, kopie zapasowe, z instrukcją, jak sprawdzić każdą pozycję.

    Wdrożone 9 października 2026 · pull request na GitHubie

  3. R12✓ Gotowe

    Porównanie audytów

    Co nowe, co naprawione, co wróciło między dwoma przebiegami.

    Wdrożone 9 października 2026 · pull request na GitHubie

  4. R11✓ Gotowe

    Eksport znalezisk

    SARIF do GitHub code scanning; zadania do Linear i Jira z plikiem, linią i poprawką.

    Wdrożone 8 października 2026 · pull request na GitHubie

  5. R21✓ Gotowe

    Sprawdzenia LLM i agentów

    Prompt injection do narzędzi i agentów, wynik modelu trafiający do HTML, SQL, powłoki albo URL, wywołania narzędzi bez autoryzacji, nadużycie kosztów i tokenów.

    Wdrożone 8 października 2026 · pull request na GitHubie

  6. R22✓ Gotowe

    Rejestr pokrycia

    Zapis, które wejścia i klasy błędów zostały sprawdzone, walidowany schematem. Dzięki temu „nic nie znaleziono” odróżnia się od „nikt nie patrzył”.

    Wdrożone 8 października 2026 · pull request na GitHubie

  7. R08✓ Gotowe

    Więcej sprawdzeń

    CSRF, CI/CD (sekrety w logach, pull_request_target, nieprzypięte akcje), Docker i IaC, łańcuch dostaw (skrypty instalacyjne, integralność lockfile).

    Wdrożone 8 października 2026 · pull request na GitHubie

  8. R04✓ Gotowe

    Wykrywanie stacku i flaga --stack

    Raport mówi, który profil zastosowano i czego ten profil nie obejmuje. Flaga wymusza profil.

    Wdrożone 8 października 2026 · pull request na GitHubie

  9. R03✓ Gotowe

    Dokładniejsza ocena benchmarku

    Dopasowanie znalezisk do klucza odpowiedzi po pliku i linii, nie po słowach kluczowych.

    Wdrożone 5 października 2026 · pull request na GitHubie

  10. R01✓ Gotowe

    Audyt przyrostowy --since <commit>

    Audytowane są tylko wejścia, których kod zmienił się od ostatniego audytu albo od wskazanego commita. Reszta raportu przenosi się z poprzedniego przebiegu.

    Wdrożone 4 października 2026 · pull request na GitHubie

Wydania

Open source3 października 2026
Licencja MIT, publiczne repozytorium i uczciwe porównanie z darmową wtyczką Claude Security od Anthropic na tej samej aplikacji testowej.
1.1.03 października 2026
Format defensywny: skutek i test regresji zamiast kroków ataku. Mod audit-live z panelem postępu. Instrukcja z Discordem.
1.0.02 października 2026
Wstępny skan z rankingiem ryzyka, --scope, dzielona weryfikacja z łączeniem łańcuchów, raport HTML, aplikacja testowa Ledgerly.