Semgrep skill

O Claude procura falhas de segurança no seu código com o Semgrep, mostra o plano antes de rodar e entrega um relatório único com o que achou.

por trailofbits

instalações: 9.500
estrelas no GitHub: 7.802
No skills.sh desde: janeiro de 2026
Licença: CC-BY-SA-4.0

Atualizada no GitHub em 24 de outubro de 2026. Dados conferidos em 26 de outubro de 2026, no skills.sh e no GitHub.

trailofbits
semgrep
O Claude procura falhas de segurança no seu código com o Semgrep, mostra o plano antes de rodar e entrega um relatório único com o que achou.9.500 instalações, grátis

O que ela faz

Faz uma auditoria de segurança com o Semgrep, ferramenta que procura padrões de bug e vulnerabilidade no código. Primeiro detecta as linguagens do projeto e confere se você tem o Semgrep Pro, que segue os dados de um arquivo pro outro e acha bem mais problemas reais.

Depois monta o plano: conjuntos de regras, pasta e modo, rodar tudo ou só o importante, que guarda apenas falha de segurança com confiança e impacto médio ou alto. Entram regras de terceiros, como as da Trail of Bits, e nada roda antes de você aprovar o plano.

Um script roda as varreduras em paralelo, sempre com a telemetria do Semgrep desligada, junta tudo num arquivo SARIF e lista o que falhou ou ficou de fora, pra uma varredura pela metade não parecer completa. Ela só lê o código: não corrige nada.

Nas palavras de quem fez

Runs a Semgrep security scan over a codebase: detects languages, selects rulesets, presents the plan for explicit approval, then runs every approved ruleset…

trailofbits, no SKILL.md

Quando usar

Antes de pôr no ar um sistema que mexe com login ou pagamento
Revisar o código que a IA escreveu antes de entregar pro cliente
Primeira passada de segurança num projeto que você herdou
Checar se ficou senha ou chave de API esquecida no código

Depois de instalar, é só pedir assim

Faz uma varredura de segurança nesse projeto com o Semgrep, só o que for importante
Roda o Semgrep completo na pasta api e me mostra o resumo por gravidade
Faz uma auditoria de segurança no projeto antes de eu entregar pro cliente e salva o resultado na pasta auditoria

Segurança

Gen Agent Trust Hub, Socket e Snyk leem o código da skill atrás de comando perigoso, dado vazando e instrução escondida. Alerta não é reprovação: quer dizer que vale ler o que a skill faz antes de instalar.

Gen Agent Trust HubPassou
SocketPassou
SnykAlerta

Perguntas

Como instalar a Semgrep no Claude Code?

Toca em Levar, aqui nesta página, e deixa seu nome, e-mail e WhatsApp (é uma vez só). Aparece uma frase pronta: cola ela no Claude Code, que ele mesmo instala a Semgrep, e a skill passa a valer na próxima conversa. A mesma frase serve no Codex. Se preferir fazer na mão, o passo a passo está em como instalar skills no Claude Code.

O que precisa pra funcionar?

O Semgrep instalado na máquina, o git pra baixar as regras de terceiros, o uv pra juntar os resultados e o jq pro filtro do modo só o importante. O Semgrep Pro, que exige login e assinatura na Semgrep, é opcional: sem ele a varredura não acompanha os dados de um arquivo pro outro.

Ela corrige as falhas que acha?

Não. A varredura só lê o código e grava os resultados numa pasta própria, como static_analysis_semgrep_1. Corrigir fica pra um pedido seguinte ao Claude.

Roda no Codex e no Antigravity?

Foi escrita pro Claude Code, que usa as ferramentas de pergunta e de tarefas dele pra pedir sua aprovação do plano. Em outro agente o script de varredura funciona, mas esse passo de aprovação pode não sair igual.

Levar essa skill

1x semgrepR$ 0,00

TotalR$ 0,00

Levar precisa do JavaScript ligado. O código da skill está no GitHub: github.com/trailofbits/skills

Aprenda a usar

Vibe coding: o que é e como usar pra fazer site
Vibe coding é programar pedindo em português pra IA, sem escrever código. Veja de onde veio o termo, como fazer no Claude Code e onde ele quebra.