static-analysis：把 CodeQL、Semgrep 与 SARIF 串成可复用的 SAST 工作流
Trail of Bits skills 市场中的 static-analysis 插件，将 CodeQL 深度分析、Semgrep 规则集扫描与 SARIF 解析合并为可复用的 Agent 工作流。内含 codeql、semgrep、sarif-parsing 三个 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章说明安装命令、典型调用方式、审批闸门与只读扫描差异，以及建库质量与 metrics 关闭等实践约束，便于在 AI 辅助安全审计中系统化落地 SAST。
阅读全文dsh-code-scan：为 DeepSeek Harness Agent 增加 Semgrep 代码扫描能力
dsh-code-scan 插件旨在解决 DeepSeek Harness Agent 集成代码安全扫描工具的痛点。该插件封装了 semgrep，为 Agent 提供了单一工具接口 `code_scan`。Agent 仅需传入目录路径，插件即可在本地运行扫描，并输出按文件、行号及严重级别分组的中文 Markdown 报告。 插件具备上下文保护机制，限制最多显示 200 条结果以防止上下文溢出，同时包含容错处理。使用前需确保本地安装并配置好 semgrep。安装命令为 `dsh plugin --profile web add dsh-code-scan`，重启 `dsh web` 进程后生效。
阅读全文semgrep-rule-creator：用 Agent 写出可测试的 Semgrep 安全规则
semgrep-rule-creator 是 Trail of Bits 推出的 Agent Skill，用来创建可检测安全漏洞、Bug 模式与代码模式的自定义 Semgrep 规则。它不跑现成规则集，而是强制 Agent 按测试先行、AST 分析、污点模式优先、全部测通后再优化的流程产出规则。本文依据官方 SKILL.md、插件 README 与技能市场说明，整理安装方式、七步工作流、eval 污点示例以及使用边界。
阅读全文