CipherClaw: セキュリティペルソナを用いたClaudeによるコード監査

CipherClawは、セキュリティに焦点を当てたペルソナをClaude Codeに適用し、コード作成ツールからセキュリティ監査ツールへと変えるツールです。TALONと名付けられたこのペルソナは、CLAUSE.mdファイルを通じて読み込まれ、セキュリティ知識ベースを含んでいます。

仕組み

アーキテクチャは主に3つのコンポーネントで構成されています：

• SOUL.md: ペルソナのアイデンティティを定義
• MEMORY.md: OWASP Top 10、CWE Top 25、20以上のシークレットパターンを含むセキュリティ知識を格納
• 7つのスキルファイル: CLAUSE.md内の@importで読み込み

コマンドと使用方法

TALONは以下のセキュリティ監査コマンドに応答します：

• TALON: full security audit
• scan for secrets
• threat model this
• compliance check SOC2
• IaC security review

発見例

バグの場所について何のヒントも与えずにNext.jsアプリで実行したところ、TALONは以下の17件のセキュリティ問題を特定しました：

• [重大] 認証不要のエンドポイントが、トークンなしで呼び出し元にpasswordHash + role:ADMINを返す
• [重大] 所有権チェックが全くないDELETEエンドポイント — 任意のユーザーが他人のデータを削除可能（BOLA/IDOR脆弱性）
• [重大] ソースコード内のハードコードされた認証トークン
• [高] ユーザー制御のファイル名を受け入れるファイルアップロード — パストラバーサル脆弱性の可能性
• [中] 暗号化なしで保存された電話番号（GDPR第32条違反）

各発見には以下が含まれていました：

• 正確な行番号
• 脆弱性を再現するcurlエクスプロイトコマンド
• 具体的な修正方法
• SOC2、HIPAA、GDPRのためのコンプライアンス制御マッピング

このツールは、コンテキストやツールを切り替えることなく、開発ワークフローにセキュリティ監査を統合したいClaude Codeを使用する開発者向けに設計されています。