# Strix 코드 취약점 찾기 (find-security-vulnerabilities-in-code)

> Strix로 화이트박스 보안 리뷰를 합니다. 소스에서 데이터 흐름과 권한을 파악하고 샌드박스에서 공격을 시도해 PoC를 붙입니다.

- 카테고리: [보안 감사](https://www.myskills.tools/ko/categories/security-audit/)
- 출처: 공식 · Strix
- 저장소: https://github.com/usestrix/strix/tree/main/skills/find-security-vulnerabilities-in-code (commit 42baa7c)
- SKILL.md: https://github.com/usestrix/strix/blob/main/skills/find-security-vulnerabilities-in-code/SKILL.md
- 설치 명령: `npx skills add usestrix/strix --skill find-security-vulnerabilities-in-code`
- 라이선스: Apache-2.0
- 호환 도구: Claude Code, Codex, Cursor
- 권한: read-repo ✓, write-files ✓, shell ✓, network ✓
- 상태: 스캔 통과
- 규칙 스캔으로 모든 위험을 찾을 수는 없습니다. 설치 전에 이 스킬의 SKILL.md를 읽고 권한을 확인하세요.
- ⚠ Strix CLI와 Docker 및 LLM 키, 또는 Strix 클라우드 로그인이 필요하며, 실행 시 모델 사용 비용이 발생합니다.

## 핵심 규칙

보고 전에 각 PoC가 실제 영향을 보여주는지 확인합니다. 종료 코드 0은 악용이 증명되지 않았다는 뜻일 뿐 안전하다는 뜻이 아닙니다.

## 실행 단계

1. **범위 지정** — 위험한 하위 디렉터리나 브랜치 diff로 범위를 좁히고, 테넌트 모델·신뢰 경계·공격자 제어 입력을 알려 줍니다.
2. **Strix 실행** — 로컬 디렉터리나 GitHub 저장소에 strix를 실행하고 --max-budget으로 비용을 제한하며, 실행 중인 인스턴스가 있으면 대상에 추가해 악용 가능성을 확인합니다.
3. **결과 읽기** — penetration_test_report.md부터 읽고 vulnerabilities/의 각 발견을 열어 PoC, 파일, 줄 번호를 확인합니다.
4. **수정 후 재검증** — 짝이 되는 수정 스킬로 근본 원인을 고치고 Strix를 다시 실행해 악용이 막혔는지 확인하며, 의존성·시크릿 스캔은 계속 유지합니다.

## 권한 설명 (SKILL.md 기준)

| 기능 | 필요 여부 | 설명 |
|---|---|---|
| 파일 쓰기 | 일부 필요 | 로컬 경로는 쓰기 가능한 상태로 샌드박스에 마운트되어 에이전트가 수정할 수 있으므로 깨끗한 체크아웃에서 실행하며, 결과는 strix_runs/에 저장됩니다. |
| 명령 실행 | 일부 필요 | Strix CLI를 실행하며, 에이전트와 공격 시도는 Docker 샌드박스 안에서 이루어집니다. |
| 네트워크 송신 | 일부 필요 | 설정한 LLM 제공자를 호출하고 지정한 저장소나 앱 대상에 접근하며, 클라우드 모드에서는 Strix 관리형 플랫폼을 씁니다. |

## SKILL.md 프런트매터(YAML)

```yaml
---
name: find-security-vulnerabilities-in-code
description: Find security vulnerabilities in a codebase or repository with Strix — a white-box AI security review that reads your source, reasons about the actual data flow and authorization model, then exploits what it finds in a live sandbox so every reported issue has a working proof-of-concept instead of a noisy static-analysis alert. Covers injection, XSS, SSRF, broken access control and IDOR, insecure deserialization, secrets in code, unsafe dependencies, and business-logic flaws. Use when the user asks to security-scan, security-review, or audit their code, repo, or pull request for vulnerabilities.
license: Apache-2.0
metadata:
  author: usestrix
  homepage: https://docs.strix.ai
---
```

홈: https://www.myskills.tools/ko/ · URL: https://www.myskills.tools/ko/skills/find-security-vulnerabilities-in-code/