агент для тестирования OWASP API Top 10

Возможности

• Файлыread_file, write_file, edit_file, grep и list_dir управляют файлами проекта внутри папки чата.
• Shellзапускает команды терминала, такие как линтеры и тесты, сообщая реальный код выхода для подтверждения успеха.
• Webиспользует web_search и http_get для чтения официальных страниц документации из интернета.
• Скриншоты и изображенияgen_image сохраняет реальные файлы, а ocr читает текст со скриншотов.
• Оркестрацияtask запускает параллельные подагентов, а skill хранит повторно используемые сценарии для типовых задач.
• Режимы одобренияAuto-run действует сразу, Ask first приостанавливается перед изменениями, Plan only пишет планы.
• Cronзапускает промпты по расписанию, чтобы проверки безопасности выполнялись регулярно.
• Моделиподдерживает облачные API, локальные модели или встроенную модель для немедленного использования.

Пошаговые руководства

Проверка рисков OWASP

Агент читает файл OpenAPI, чтобы перечислить конечные точки, и использует grep для поиска обработчиков маршрутов в вашем коде, чтобы знать, куда смотреть. Он проверяет доступ. Он использует http_get для отправки запросов на ваш URL среды разработки. Он проверяет, правильно ли истекают токены входа, и проверяет нарушение авторизации на уровне объектов путем замены идентификаторов пользователей. Утечка ключей API в исходном коде страницы — это распространенный риск, который агент помогает выявить при обзоре. Он читает журналы ошибок на предмет утечки деталей и пишет отчет с уровнями серьезности для каждого обнаружения. Вы просматриваете план в режиме Plan only перед принятием любых изменений в рабочей папке. Этот процесс соответствует рекомендациям OWASP API Top 10 по защите вашего приложения программирования интерфейса.

Сканирование ключей

Агент использует grep для поиска образцов ключей в ваших исходных файлах, а edit_file предлагает переместить их в конфигурацию с разницей в режиме Ask first. Вы просматриваете изменения. Он работает локально на вашем ПК Windows. Руководство OWASP API Security Top 10 направляет эти проверки. Жестко закодированные ключи API, поставляемые в приложениях, часто приводят к утечке секретов. Отсутствие лимита скорости входа и OTP вызывает проблемы. Агент регистрирует все обнаружения для ваших записей. Он сохраняет секреты вдали от общих заметок и отчетов.