Compétence de modélisation des menaces pour les agents de codage : permet à Claude Code ou Codex d'inspecter votre dépôt en lecture seule, en suivant un processus structuré pour analyser le code, les limites de confiance, les menaces, les protections existantes et les recommandations d'atténuation, avec des conclusions qui doivent inclure des fichiers et des numéros de ligne comme preuves.
Nombre d'étoiles 310 (+57 / 24h)
Raison
- 36 types de workflows d'architecture (Web, API, mobile, microservices, SaaS multi-tenant, RAG, IA agentique, IoT, blockchain, etc.), chacun disposant d'une version rapide et d'une version approfondie en six étapes ; 29 prompts méthodologiques, incluant STRIDE, PASTA, LINDDUN, STPA, MITRE ATLAS, CVSS, etc.
- Le guide d'exécution impose une inspection en lecture seule ; la construction, les tests, l'installation et la connexion réseau nécessitent votre autorisation explicite ; les résultats sont écrits dans le répertoire threat-model/, incluant le périmètre de revue, les rapports et les fichiers JSON, permettant ensuite d'utiliser le mode change pour comparer les modifications de branche avec le modèle existant
- Pour les serveurs MCP et les outils d'agent, les outils sont associés aux identifiants backend et aux permissions réelles, vérifiant la portée des jetons partagés ainsi que la possibilité que des descriptions d'outils modifiées induisent en erreur d'autres outils de confiance
Utilisation
- git clone https://github.com/jmanico/grim-prompter.git ~/grim-prompter, puis créez un lien symbolique de skills/threat-model vers ~/.claude/skills/ (pour Codex, ~/.agents/skills/), et démarrez une nouvelle session
- Dans Claude Code, saisissez /threat-model, /threat-model quick api, /threat-model deep web ou /threat-model change main...feature (pour Codex, utilisez $threat-model) ; pour les autres agents, ajoutez les extraits du README dans AGENTS.md
Risques
- L'auteur souligne que les prompts sont des brouillons, que la modélisation des menaces ne prouve pas la sécurité du système, et que les évaluations de risque et les approbations vous incombent ; les rapports peuvent contenir des détails sensibles, à vérifier avant d'être intégrés au contrôle de version
- L'auteur Jim Manico vend par ailleurs des prompts commerciaux de codage sécurisé ; licence MIT, dépôt créé le 28 10