CipherClaw : Utiliser un Personnage de Sécurité pour Auditer du Code avec Claude

CipherClaw est un outil qui applique un persona axé sur la sécurité à Claude Code, le transformant d'un rédacteur de code en auditeur de sécurité. Le persona, nommé TALON, est chargé via un fichier CLAUDE.md et inclut des bases de connaissances en sécurité.

Fonctionnement

L'architecture se compose de trois éléments principaux :

• SOUL.md : Définit l'identité du persona
• MEMORY.md : Contient des connaissances en sécurité, notamment le Top 10 OWASP, le Top 25 CWE et plus de 20 modèles de secrets
• 7 fichiers de compétences : Chargés via @import dans CLAUDE.md

Commandes et utilisation

TALON répond à plusieurs commandes d'audit de sécurité :

• TALON : audit de sécurité complet
• rechercher des secrets
• modéliser les menaces pour ceci
• vérification de conformité SOC2
• revue de sécurité IaC

Exemples de découvertes

Lors de son exécution sur une application Next.js sans aucun indice sur l'emplacement des bogues, TALON a identifié 17 problèmes de sécurité, notamment :

• [CRITIQUE] Point de terminaison non authentifié renvoyant passwordHash + rôle:ADMIN à tout appelant sans jeton requis
• [CRITIQUE] Point de terminaison DELETE sans vérification de propriété — permettant à tout utilisateur de supprimer les données de n'importe qui (vulnérabilité BOLA/IDOR)
• [CRITIQUE] Jeton d'authentification codé en dur dans le code source
• [ÉLEVÉ] Téléchargement de fichier acceptant un nom de fichier contrôlé par l'utilisateur — vulnérabilité potentielle de traversée de chemin
• [MOYEN] Numéros de téléphone stockés sans chiffrement (violation de l'article 32 du RGPD)

Chaque découverte incluait :

• Les numéros de ligne exacts
• Des commandes d'exploitation curl pour reproduire la vulnérabilité
• Des corrections spécifiques
• Une cartographie des contrôles de conformité pour SOC2, HIPAA et RGPD

L'outil est conçu pour les développeurs utilisant Claude Code qui souhaitent intégrer l'audit de sécurité dans leur flux de travail de développement sans changer de contexte ou d'outils.