static-analysis：把 CodeQL、Semgrep 与 SARIF 串成可复用的 SAST 工作流
Trail of Bits skills 市场中的 static-analysis 插件，将 CodeQL 深度分析、Semgrep 规则集扫描与 SARIF 解析合并为可复用的 Agent 工作流。内含 codeql、semgrep、sarif-parsing 三个 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章说明安装命令、典型调用方式、审批闸门与只读扫描差异，以及建库质量与 metrics 关闭等实践约束，便于在 AI 辅助安全审计中系统化落地 SAST。
阅读全文rust-review：面向 Rust 代码库的安全审查 Skill
rust-review 是 Trail of Bits skills 市场中的 Rust 代码安全审查 Skill，通过编排器与 worker/dedup/fp 子代理覆盖 safe/unsafe 边界、unsafe 内存安全、并发、panic-DoS、FFI 与 async 运行时问题，产出 REPORT.md 与 REPORT.sarif。适用于审计含 unsafe、FFI 或并发的 crate 与服务；纯 C/C++、智能合约与密钥清零等场景应改用 c-review、合约类 Skill 或 zeroize-audit。在 Claude Code 或 Codex 中添加 trailofbits/skills 市场后，用 /rust-review:rust-review 启动审查。
阅读全文