vbs-scan-security

vbsec — Security Scanner cho Vibe Coders (Antigravity variant)

Quét lỗ hổng bảo mật cho code do AI sinh ra (vibe code). Bộ skill này check 21 lỗi bảo mật phổ biến nhất của vibe code, kế thừa kiến trúc SMALL/LARGE mode, tổng quát hóa cross-language + chuyên sâu cho Go/PHP/Python/TypeScript/.NET.

Public repo: https://github.com/tanviet12/vbsec License: MIT Platform: Google Antigravity. Phiên bản Claude Code spawn parallel sub-agents; phiên bản này dùng sequential chunking để giữ portability — chậm hơn ~3× nhưng output identical.

Invocation

Trong Antigravity Agent Manager chat box:

• Auto-trigger: nói tự nhiên — "scan security cho repo này", "kiểm tra bảo mật", "audit security". Antigravity tự match description và load skill.
• Explicit slash command: nếu workspace có file .agent/workflows/vbs-scan-security.md (xem README để biết cách tạo), gõ /vbs-scan-security để invoke.

Argument	Scope	Mô tả
(không args)	Toàn repo	Mặc định — quét toàn bộ repo
all	Toàn repo	Alias explicit
uncommitted / diff	Uncommitted changes	Staged + unstaged
staged	Staged files only	Pre-commit scan
commit within Xdays	Recent commits	Quét commit X ngày gần đây
commit id <sha>	Specific commit	Quét 1 commit
pr id <number>	Pull request	Quét PR diff (cần gh CLI)

Lựa chọn ngôn ngữ output: lang=vi / --vi (mặc định) hoặc lang=en / --en.

Ví dụ:

scan security uncommitted lang=en
/vbs-scan-security pr id 42
audit security commit within 7days

---

CRITICAL: Cách dùng skill này (cho LLM agent)

Các pattern bash/grep trong rule files là VÍ DỤ minh họa, KHÔNG phải lệnh chạy literal.

Nguyên tắc

1. Lý luận, không pattern-match thuần — Hiểu intent bảo mật đằng sau mỗi check, không chỉ tìm chuỗi
2. Dùng tool phù hợp — Antigravity built-in file/grep tools (read, grep, bash/shell), không gọi grep/find shell thô khi tool native có sẵn
3. Đọc context đầy đủ — Khi gặp pattern, đọc hàm xung quanh để hiểu đây có thực sự là lỗ hổng không
4. Phân loại trust level — Một query có format chuỗi chỉ nguy hiểm nếu data ghép vào là L1 (untrusted)