static-analysis：把 CodeQL、Semgrep 與 SARIF 串成可複用的 SAST 工作流
Trail of Bits skills 市場中的 static-analysis 插件，將 CodeQL 深度分析、Semgrep 規則集掃描與 SARIF 解析合併爲可複用的 Agent 工作流。內含 codeql、semgrep、sarif-parsing 三個 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章說明安裝命令、典型調用方式、審批閘門與只讀掃描差異，以及建庫質量與 metrics 關閉等實踐約束，便於在 AI 輔助安全審計中系統化落地 SAST。
閱讀全文dsh-code-scan：爲 DeepSeek Harness Agent 增加 Semgrep 代碼掃描能力
dsh-code-scan 插件旨在解決 DeepSeek Harness Agent 集成代碼安全掃描工具的痛點。該插件封裝了 semgrep，爲 Agent 提供了單一工具接口 `code_scan`。Agent 僅需傳入目錄路徑，插件即可在本地運行掃描，並輸出按文件、行號及嚴重級別分組的中文 Markdown 報告。 插件具備上下文保護機制，限制最多顯示 200 條結果以防止上下文溢出，同時包含容錯處理。使用前需確保本地安裝並配置好 semgrep。安裝命令爲 `dsh plugin --profile web add dsh-code-scan`，重啓 `dsh web` 進程後生效。
閱讀全文semgrep-rule-creator：用 Agent 寫出可測試的 Semgrep 安全規則
semgrep-rule-creator 是 Trail of Bits 推出的 Agent Skill，用來創建可檢測安全漏洞、Bug 模式與代碼模式的自定義 Semgrep 規則。它不跑現成規則集，而是強制 Agent 按測試先行、AST 分析、污點模式優先、全部測通後再優化的流程產出規則。本文依據官方 SKILL.md、插件 README 與技能市場說明，整理安裝方式、七步工作流、eval 污點示例以及使用邊界。
閱讀全文