cso
cso
Catalogue généré le 2026-05-11
En une phrase
Mode « Chief Security Officer » : Claude audite ton projet à la recherche de failles de sécurité, secrets exposés, dépendances vulnérables et risques d'attaque.
Quand l'utiliser
- Avant de déployer une application sensible (qui touche à de l'argent, des données personnelles, de l'auth)
- Quand tu veux vérifier qu'aucun mot de passe ou clé API ne traîne dans ton historique git
- Quand tu veux un audit OWASP Top 10 (les dix grandes catégories de vulnérabilités web)
- Après avoir ajouté de nouvelles dépendances, pour vérifier qu'elles ne contiennent pas de failles connues
- Périodiquement (par exemple chaque mois) pour suivre l'évolution de la sécurité de ton projet
Comment l'invoquer
- Slash command :
/cso(à taper dans Claude Code) - Voice triggers : « see-so » · « see so » · « security review » · « security check » · « vulnerability scan » · « run security »
- Phrases déclencheurs (texte) : "security audit" / "threat model" / "pentest review" / "owasp review" / "CSO review"
- Auto-invocation : Sur demande explicite
Description détaillée
/cso lance un audit de sécurité à la fois sur ton code et sur ton infrastructure. Le skill détecte d'abord ton stack technique (Node, Python, Ruby, Go, etc.) puis cartographie la surface d'attaque : endpoints publics, routes authentifiées, points d'upload de fichiers, intégrations externes, webhooks, jobs en arrière-plan.
Il enchaîne plusieurs phases. Archéologie des secrets : il fouille l'historique git pour repérer les clés AWS (AKIA…), clés OpenAI (sk-…), tokens GitHub, etc. qui auraient pu être commit par erreur. Chaîne de dépendances : il lance npm audit ou équivalent, repère les scripts d'install suspects dans tes dépendances de production. Pipeline CI/CD : il vérifie tes workflows GitHub Actions (actions non pinnées, pull_request_target dangereux, injection de scripts). OWASP Top 10 + STRIDE : injections SQL, XSS, CSRF, contrôles d'accès cassés, etc.
Deux modes existent. Daily est silencieux (signale seulement à 8/10 de confiance, zéro bruit). Comprehensive est l'audit mensuel approfondi (à 2/10, tout sort). Tu peux aussi cibler des sous-périmètres : --infra, --code, --skills, --diff (limité aux changements de ta branche). À chaque exécution, les résultats sont stockés pour suivre les tendances dans le temps.
Source
- Plugin :
gstack - Nom interne :
cso - Fichier :
/home/thymon/.claude/skills/gstack/cso/SKILL.md