SClawHub

이 AI 스킬 보안 스캐너는 Semgrep의 규칙 기반 정적 분석과 Claude AI 검토를 결합한다. Semgrep은 알려진 패턴을 잡아낸다. AI는 규칙이 놓치는 의도를 읽어낸다. 교묘한 자격 증명 탈취와 수상한 네트워크 호출이 바로 그곳에 숨기 쉽다. GitHub CLI 스킬을 실제로 스캔했을 때 정보 등급 발견 항목 하나와 함께 85/100으로 평가했다. 스킬 자체에 실행 가능한 코드가 없다는 점도 확인했다.

모든 스캔은 0~100 사이의 단일 숫자로 귀결된다. 95 부근은 안전, 65는 중간 위험을 나타내며 한 번 읽어볼 가치가 있고, 25 이하는 심각하다. 빨리 결정할 때는 원시 발견 항목의 벽보다 숫자 하나가 낫고, 이유가 궁금해지면 상세 보고서가 여전히 거기 있다. 그게 전부다.

새로운 URL 체계를 배울 필요가 없다. clawhub.ai/skills/github 같은 ClawHub 스킬 경로를 가져와 도메인을 sclawhub.com/skills/github으로 바꾼다. 경로는 그대로라서 북마크와 공유한 스킬 링크가 계속 작동한다. 이전의 번거로움이 없다.

확장 기능은 스캔을 이미 있는 자리로 가져온다. URL을 별도 탭에 복사하는 대신 ClawHub 디렉터리를 둘러보면서 신뢰 점수를 확인한다. 수십 번은 하게 될 단계 하나를 아낀다. 목록을 훑어보며 명백한 문제작을 먼저 걸러내고 싶을 때 유용하다.

스캐너, 확장 기능, 보고서 형식이 모두 공개되어 있다. 코드를 살펴보고 개선하거나 자신의 프로젝트를 위해 포크할 수 있다. 보안 도구라면 이 점이 평소보다 더 중요하다. 결국 다른 코드를 판단하는 일을 맡기는 셈이니까. 맹목적 신뢰를 요구하는 닫힌 스캐너는 설득하기 어렵다.

보고서는 위험 등급, 문제 개수, 권고 사항이 붙은 각 발견 항목을 풀어 보여준다. 전형적인 항목에는 코드 규모와 Semgrep 발견 건수가 적혀 있어 무엇을 얼마나 분석했는지 알 수 있다. 그게 무엇을 주는가. 눈을 가늘게 뜨고 보는 점수가 아니라 실제로 읽을 수 있는 보고서다. 어떤 발견 항목이 무해와 심각 사이 어딘가에 있을 때 스스로 판단할 맥락이 필요하다면 이 점이 중요하다.