static-analysis：把 CodeQL、Semgrep 與 SARIF 串成可複用的 SAST 工作流
Trail of Bits skills 市場中的 static-analysis 插件，將 CodeQL 深度分析、Semgrep 規則集掃描與 SARIF 解析合併爲可複用的 Agent 工作流。內含 codeql、semgrep、sarif-parsing 三個 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章說明安裝命令、典型調用方式、審批閘門與只讀掃描差異，以及建庫質量與 metrics 關閉等實踐約束，便於在 AI 輔助安全審計中系統化落地 SAST。
閱讀全文rust-review：面向 Rust 代碼庫的安全審查 Skill
rust-review 是 Trail of Bits skills 市場中的 Rust 代碼安全審查 Skill，通過編排器與 worker/dedup/fp 子代理覆蓋 safe/unsafe 邊界、unsafe 內存安全、併發、panic-DoS、FFI 與 async 運行時問題，產出 REPORT.md 與 REPORT.sarif。適用於審計含 unsafe、FFI 或併發的 crate 與服務；純 C/C++、智能合約與密鑰清零等場景應改用 c-review、合約類 Skill 或 zeroize-audit。在 Claude Code 或 Codex 中添加 trailofbits/skills 市場後，用 /rust-review:rust-review 啓動審查。
閱讀全文