Claude Code
com o Claudinho
O Claude no terminal: o que o Vagner usa nos vídeos.
Codeql skill
O Claude monta o banco do CodeQL, roda as regras de segurança e entrega as falhas num relatório SARIF, sem pular etapa.
- instalações
- 8.300
- estrelas no GitHub
- 7.802
- No skills.sh desde
- janeiro de 2026
- Licença
- CC-BY-SA-4.0
Atualizada no GitHub em 24 de outubro de 2026. Dados conferidos em 26 de outubro de 2026, no skills.sh e no GitHub.
O que ela faz
Usa o CodeQL, o analisador de código do GitHub, pra achar vulnerabilidades seguindo o caminho dos dados pelo código, de onde entram até onde viram consulta ao banco ou comando no sistema. Funciona com Python, JavaScript/TypeScript, Go, Java/Kotlin, C/C++, C#, Ruby e Swift.
Segue três etapas: monta o banco de análise e confere se ele extraiu o código de verdade, cria modelos pras funções próprias do projeto que leem a requisição e chamam o banco, e roda as consultas. Tem dois modos: tudo, com as regras experimentais, ou só o importante, de alta precisão.
Guarda tudo numa pasta só: banco, log, extensões e resultados em SARIF. Usa as regras oficiais, as da Trail of Bits e as da comunidade. Resultado zero é investigado, não comemorado, e num Mac com chip Apple ela sabe contornar o erro de compilação mais comum.
Nas palavras de quem fez
Scans a codebase for security vulnerabilities using CodeQL's interprocedural data flow and taint tracking analysis. Triggers on "run codeql", "codeql scan",…
Quando usar
- Antes de lançar um sistema que mexe com login, pagamento ou dados de cliente
- Auditar um código que veio de um freelancer ou de outra IA
- Procurar injeção de SQL e de comando num app em Python ou Node
- Repetir a varredura depois de corrigir as falhas
Depois de instalar, é só pedir assim
- Roda o CodeQL nesse repositório e me lista as falhas de segurança mais graves
- Faz uma varredura só do importante no meu app em Node e explica cada achado em português
- Usa o banco que já existe em static_analysis_codeql_1 e roda a análise completa de novo
Segurança
Gen Agent Trust Hub, Socket e Snyk leem o código da skill atrás de comando perigoso, dado vazando e instrução escondida. Alerta não é reprovação: quer dizer que vale ler o que a skill faz antes de instalar.
- Gen Agent Trust HubPassou
- SocketPassou
- SnykPassou
Perguntas
Como instalar a Codeql no Claude Code?
Toca em Levar, aqui nesta página, e deixa seu nome, e-mail e WhatsApp (é uma vez só). Aparece uma frase pronta: cola ela no Claude Code, que ele mesmo instala a Codeql, e a skill passa a valer na próxima conversa. A mesma frase serve no Codex. Se preferir fazer na mão, o passo a passo está em como instalar skills no Claude Code.
O que precisa pra funcionar?
O CodeQL instalado (pelo gh, pelo Homebrew ou pelo pacote do GitHub), mais o jq e o uv, que rodam os scripts de checagem. Em linguagem compilada, como C, Java ou Swift, o projeto precisa compilar na sua máquina pra análise sair completa. Pela licença do GitHub, o CodeQL é grátis em código aberto; em código privado de empresa, pede o plano pago de segurança do GitHub.
Se não achar nada, o código está seguro?
Não necessariamente. A skill trata zero achados como sinal pra investigar: pode ser banco mal extraído, modelo faltando ou regra filtrada. O relatório diz se as checagens de qualidade do banco e das regras passaram.
Roda no Codex e no Antigravity?
Foi escrita pro Claude Code, com as ferramentas de pergunta e de tarefas dele e o comando /static-analysis:codeql-build do plugin da Trail of Bits. Em outros agentes o roteiro e os scripts servem, mas sem esses atalhos.
Levar essa skill
1x codeqlR$ 0,00
TotalR$ 0,00
Levar precisa do JavaScript ligado. O código da skill está no GitHub: github.com/trailofbits/skills
Aprenda a usar
- Vibe coding: o que é e como usar pra fazer site
Vibe coding é programar pedindo em português pra IA, sem escrever código. Veja de onde veio o termo, como fazer no Claude Code e onde ele quebra.
Na mesma prateleira
Ver as 955 skills do corredorClerk
clerk
O Claude confere a versão da Clerk no seu projeto e segue o roteiro certo pra colocar login, planos pagos ou equipes no app.OficialAuditada30 mil instalações, grátisuseai-pro
skill-
Antes de instalar uma skill que você achou por aí, o Claude lê o arquivo e diz se pode instalar, se precisa olhar melhor ou se é pra bloquear.Auditada21,1 mil instalações, grátisvetter trailofbits
semgrep
O Claude procura falhas de segurança no seu código com o Semgrep, mostra o plano antes de rodar e entrega um relatório único com o que achou.9.500 instalações, grátisOpenClaw
1password
O Claude puxa a senha do banco ou a chave da API do seu cofre do 1Password na hora de rodar o comando, sem deixar o segredo no código nem na conversa.Auditada6.300 instalações, grátisAuth0
auth0
O Claude identifica o framework do seu projeto, lê o guia certo do Auth0 e coloca login e proteção de rotas sem chute.OficialAuditada5.200 instalações, grátisgiuseppe-trisciuoglio
better-
O Claude monta o login do seu app em quatro fases, do banco de dados às páginas protegidas, conferindo cada etapa antes de seguir.Auditada3.600 instalações, grátisauth workos
workos
O Claude roda o instalador da WorkOS, liga o login no seu projeto e testa entrada, saída e redirecionamento antes de dizer que está pronto.Auditada3.400 instalações, grátishoodini
owasp-
O Claude escreve e revisa o código do seu site ou API conferindo as dez falhas de segurança mais comuns da web, com o jeito certo de evitar cada uma.Auditada3.000 instalações, grátissecurity
Mais da loja trailofbits
Ver a loja trailofbitsdifferential-
Faz revisão de segurança das mudanças de código, adaptada ao tamanho do projeto e com raio de impactoAuditada8.800 instalações, grátisreview modern-
Configura projetos Python com ferramentas modernas (uv, ruff, ty) e migra de pip, Poetry, mypy e blackAuditada8.700 instalações, grátispython supply-
Audita as dependências de um projeto atrás de risco na cadeia de suprimentos e pacotes abandonadosAuditada8.200 instalações, grátischain- risk- auditor secure-
Guia o fluxo de desenvolvimento seguro em 5 passos da Trail of Bits para smart contracts, com SlitherAuditada7.400 instalações, grátisworkflow- guide code-
Avalia a maturidade do código nas 9 categorias da Trail of Bits, como segurança aritmética e acessoAuditada7.100 instalações, grátismaturity- assessor fp-
Verifica bugs de segurança suspeitos para eliminar falsos positivos, com veredito e evidências documentadasAuditada7.000 instalações, grátischeck property-
Escreve, revisa e depura testes baseados em propriedades com Hypothesis, fast-check, proptest e outrosAuditada7.000 instalações, grátisbased- testing sharp-
Aponta APIs propensas a erro, configurações perigosas e designs armadilha que levam a falhas de segurança6.900 instalações, grátisedges ask-
Esclarece os requisitos antes de implementar quando o pedido está vagoAuditada6.800 instalações, grátisquestions- if- underspecified audit-
Entende o código antes de caçar bugs: o que cada função assume, garante e de quem dependeAuditada6.800 instalações, grátiscontext- building agentic-
Audita workflows do GitHub Actions com agentes de IA, como Claude Code e Gemini CLI, atrás de vulnerabilidades6.700 instalações, grátisactions- auditor gh-
Força o uso do gh CLI autenticado no lugar de curl, WebFetch e MCP fetch ao trabalhar com GitHub6.600 instalações, grátiscli