Getting it into your agent
One page per mod, every tool's command on it. A separate URL per tool would split the same page into five that compete with each other.
npx agentmods add commands/ch015/code-pentester/reportgit clone --depth 1 https://github.com/ch015/code-pentesterWhat it costs to keep this loaded
Counted locally with the o200k_base tokenizer, which is exact for GPT models; Claude uses its own tokenizer and its counts differ. Treat this as one consistent yardstick across the catalogue rather than a bill. Prices are per million input tokens.
| Model | Per session | Once invoked |
|---|---|---|
| Fable 5 | $0.00011 | $0.03742 |
| Opus 5 | $0.00005 | $0.01871 |
| Sonnet 5 | $0.00002 | $0.00748 |
| Haiku 4.5 | $0.00001 | $0.00374 |
Grade A, and why
report scanned grade A with 0 findings against 26 rules in 11 categories — prompt injection, anti-refusal, data exfiltration, privilege escalation, supply chain, agent snooping, system-prompt leakage, SSRF and excessive agency — measured yesterday.
A static scan of the body, not an audit. Every finding is printed with the line that produced it so you can judge whether it matters here. A mod is markdown that instructs an agent; that is exactly why what it instructs is worth reading.
Nothing flagged
None of the 26 patterns this scan looks for appear in this file: no shell pipes, no recursive deletes, no credential paths, no hidden text, no instruction-override or anti-refusal phrasing, no agent-config snooping. That is not a guarantee, it is the absence of the things that are checkable.
How it starts
The opening of the file, as written. The whole thing — 325 lines — stays where its author put it; the contents beside it link to each section on GitHub.
/ch015:report — 보고서 생성
당신은 CH015 보안 진단 시스템의 보고서 작성자입니다. 현재 세션에서 수행된 모든 진단 결과를 종합하여 최종 보고서를 생성합니다.
커맨드 인터페이스
/ch015:report # 전체 종합 보고서
/ch015:report executive # 경영진 요약 보고서
/ch015:report va # VA 결과만
/ch015:report pentest # Pentest 결과만
/ch015:report redteam # Red Team 결과만
Usage Examples
# 전체 종합 보고서 생성
/ch015:report
# 경영진 요약 보고서 (비기술적 관리자용)
/ch015:report executive
# VA 진단 결과만 별도 보고서
/ch015:report va
# Pentest 결과만 별도 보고서
/ch015:report pentest
# Red Team 결과만 별도 보고서
/ch015:report redteam
보고서 구조
종합 보고서
# CH015 Security Assessment Report
# Date: YYYY-MM-DD | Target: [프로젝트명] | Level: [레벨]
# Branch: [git_branch] | Commit: [git_head] ← 필수. source_manifest.json에서 가져와 반드시 기입한다.
## 1. 경영진 요약 (Executive Summary)
- 전체 보안 등급: [A-F]
- Security Score: XX/100
- 핵심 리스크 (Top 3)
- 즉시 조치 필요 항목
- 서비스별 주요 발견 사항
## 2. Project Summary
| Item | Value |
|------|-------|
| Language / Framework / Auth / DB / Deployment |
| Active Domains |
| **Diagnosed Branch** | {git_branch} ← source_manifest.json, 필수 |
| **Diagnosed Commit** | {git_head} (full SHA) ← source_manifest.json, 필수 |
> ⚠️ 결과서는 **어떤 브랜치·커밋을 진단했는지** 반드시 기록한다(추적성). 값은
> source_manifest.json의 `git_branch`/`git_head`에서 가져온다. 둘 중 하나라도 비면
> report-gate가 `PROVENANCE_MISSING`으로 발행을 차단한다(아래 5.5).
## 3. Architecture Dimension Health
| 차원 | 상태 | 핵심 발견 |
|------|------|---------|
| A1-A8 | Healthy/Caution/Critical | [요약] |
## 4. 서비스별 결과 요약
| 서비스 | 등급 | 발견 수 | 핵심 이슈 |
|--------|------|--------|---------|
| VA | X | N건 | ... |
| Pentest | X | N건 | ... |
| Red Team | X | N건 | ... |
## 5. 전체 Finding 목록
| F-ID | 심각도 | 서비스 | 차원 | 근본원인 | 제목 | 상태 |
|------|--------|--------|------|---------|------|------|
## 5.5 Candidate Classification Gate
| 항목 | 값 |
|------|----|
| Raw candidates | N |
| Final findings | N |
| Backlog / Pending | N |
| Excluded | N |
| Unclassified | 0 |
| Score formula valid | true |
> Raw candidate가 하나라도 미분류 상태이면 보고서 발행 금지.
> 최종 `equivalence_review`가 COMPLETE가 아니거나 MERGE 그룹이 여러 score-impacting Finding을 남기면 보고서 발행 금지.
> 발행 전 오케스트레이터가 먼저 `AGENT_ENGAGEMENT_DIR=<engagement_dir> node hooks/agent-plan-gate.js reconcile --check-current-source true`를 **능동 실행**한다.
> - exit 2 → **발행 중단**. Agent fanout 초과, 예약 없는 산출물, commit 누락, stale source manifest를 해소한 뒤 재실행한다.
> - exit 0 → fanout 무결성 통과. 이어서 `AGENT_ENGAGEMENT_DIR=<engagement_dir> node hooks/report-gate.js --ledger <raw-ledger.yaml> --classification <classification.yaml> --pentest-plan <pentest-plan.yaml> --score <score> --manifest <engagement_dir>/source_manifest.json --require-provenance`를 **능동 실행**하고 exit code로 분기한다(설계 A: 능동 게이트 1차, PreToolUse 훅은 활성화 시 보조 이중화). `--manifest`+`--require-provenance`는 브랜치·커밋해시 기입을 강제한다. (수동 CLI를 건너뛰어도 hooks/report-gate-hook.js가 최종 결과서 쓰기 직전 동일 강제를 자동 수행 — P1.)
> - report-gate exit 0 → 통과. 보고서를 Write/발행한다.
> - report-gate exit 2 → **발행 중단**. stderr가 지목한 blocker(분류 완결성 / equivalence review / pentest route coverage / score formula / **provenance(브랜치·커밋해시 누락)**)를 보완한 뒤 게이트부터 재실행한다. 통과 전에는 Write 금지.
> - exit 1 → 사용오류(인자·경로). 경로 인자 점검 후 재실행.
## 6. Finding 상세 (6-step 영향도 분석 포함)
[CRITICAL → LOW 순서로 모든 Finding 전개]
## 6.5 Backlog / Pending Security Items
| Candidate | 상태 | 권장 Severity | 이유 | 다음 확인 |
|-----------|------|---------------|------|-----------|
[confirmed score-impacting finding에서 제외된 유효 후보]
## 6.7 Excluded Candidates
| Candidate | Excluded Category | 권장 Severity | 이유 | Ledger 상태 |
|-----------|-------------------|---------------|------|-------------|
[engagement 출력 필터로 최종 Finding에서 제외되었으나 raw ledger에 보존된 후보]
## 7. 보안 표준 준수 현황
| 표준 | 항목 수 | 준수 | 미준수 | 준수율 |
|------|---------|------|--------|--------|
## 8. 건전한 아키텍처 패턴 인식
## 9. 통합 수정 로드맵
| 우선순위 | F-ID | 서비스 | 차원 | 근본원인 | 작업 내용 | 예상 시간 |
|---------|------|--------|------|---------|---------|---------|
## 10. 규제 영향 참조 (해당 시에만)
> ⚠️ 본 섹션은 법률 자문이 아닌 기술 보안 관점의 참고 정보입니다.
| Finding | 심각도 | 관할 | 법률/규제 | 조항 | 요약 |
|---------|--------|------|----------|------|------|
[skills/ch015/offsec/va/regulatory.md 프로토콜에 따라 작성]
## 부록 A. 서비스별 상세 보고서
[VA / Pentest / Red Team 각 서비스 상세]
## 부록 B. Security Backlog / Pending Verification
[`security-backlog.template.md` 기반 별도 산출물 링크]
## 부록 C. 보안 표준 참조
[OWASP / CWE / NIST / MITRE ATT&CK 참조]
What this file has done since we first saw it
Hashed on every crawl. A supply-chain change to an agent config is a question of when, not whether, so the history is kept rather than the latest state alone.
- yesterday First seen · 325 lines · 11 tokens per session scan A 4ee3d0f9cfde
report is a command published in the GitHub repository ch015/code-pentester (4 stars, last pushed 13d ago), licensed MIT. It adds 11 tokens to every session and 3,742 once invoked, about $0.0001 per session on Opus 5. A static security scan graded it A with 0 findings. No closer match exists in the catalogue, so it is treated as the original; first seen 2026-08-31.
Other commands, from other repositories
plan_local
Create implementation plan with codebase analysis.
arch-check
Run built-in architecture-conformance policies — cycles, cross-package imports, layer violations.
blast-radius
Show everything that depends on a symbol (class / function / method) — run before renaming, deleting, or moving.
dead-code
List orphan functions, classes, atoms, and endpoints with no inbound references — framework entry points excluded.
critique
Verify that a plan was fully implemented — checks acceptance criteria against code.
graph
Run a read-only Cypher query against the live codegraph Neo4j graph.