코딩 에이전트를 위한 위협 모델링 스킬: Claude Code 또는 Codex가 리포지토리를 읽기 전용으로 검사하여 구조화된 프로세스에 따라 코드, 신뢰 경계, 위협, 기존 방어 및 완화 권장 사항을 정리하며, 결론에는 파일과 줄 번호를 증거로 첨부해야 합니다.
별 개수 310 (+57 / 24시간)
이유
- 36가지 아키텍처 워크플로(Web, API, 모바일, 마이크로서비스, 멀티 테넌트 SaaS, RAG, 에이전트형 AI, IoT, 블록체인 등)가 있으며, 각 워크플로에는 빠른 버전과 6단계 심층 버전이 포함됩니다. STRIDE, PASTA, LINDDUN, STPA, MITRE ATLAS, CVSS 등을 포함한 29개의 방법론 프롬프트가 제공됩니다
- 실행 매뉴얼은 읽기 전용 검사를 요구하며, 빌드, 테스트, 설치 및 네트워크 연결은 명시적인 승인이 필요합니다. 결과는 threat-model/ 디렉터리에 저장되며, 검토 범위, 보고서 및 JSON을 포함합니다. 이후 change 모드를 사용하여 브랜치 변경 사항을 기존 모델과 비교할 수 있습니다
- MCP 서버 및 에이전트 도구의 경우, 도구를 백엔드 자격 증명 및 실제 권한에 매핑하고, 공유 토큰의 영향 범위를 확인하며, 도구 설명이 수정되었을 때 다른 신뢰할 수 있는 도구를 오도할 수 있는지 점검합니다
사용법
- git clone https://github.com/jmanico/grim-prompter.git ~/grim-prompter를 실행한 후, skills/threat-model을 ~/.claude/skills/(Codex의 경우 ~/.agents/skills/)로 심볼릭 링크하고 새 세션을 시작합니다
- Claude Code에서 /threat-model, /threat-model quick api, /threat-model deep web 또는 /threat-model change main...feature를 입력합니다(Codex는 $threat-model 사용). 다른 에이전트의 경우 README의 스니펫을 AGENTS.md에 추가합니다
리스크
- 저자는 프롬프트가 초안 상태이며, 위협 모델이 시스템의 보안을 증명할 수 없고, 위험 평가 및 승인은 사용자가 직접 수행해야 한다고 강조합니다. 보고서에 민감한 세부 정보가 포함될 수 있으므로, 버전 관리 저장소에 커밋하기 전에 반드시 검토해야 합니다
- 저자 Jim Manico는 별도로 상업용 보안 코딩 프롬프트를 판매합니다. 라이선스는 MIT이며, 저장소는 10월 28일에 생성되었습니다