Tres capas: avisos con regex en Edit/Write para unos 25 patrones peligrosos, una revisión rápida de diffs con LLM al final del turno y un revisor basado en el SDK en cada git commit.
Qué hace
Dónde se ejecuta security-guidance y qué añade, según su documentación
Avisa sobre yaml.load, pickle.load, innerHTML, secretos incrustados, etc.
Revisa los diffs cuando Claude termina un turno
La revisión agéntica de commits traza el flujo de datos entre archivos (IDOR, omisión de autenticación, SSRF)
Se configura mediante variables de entorno
Cuándo usarla
Buen encaje
Detectar vulnerabilidades en código generado por IA
No apto para
Sustituir una auditoría de seguridad completa
Cómo instalar security-guidance
Necesitas: CLI de Claude Code >= v2.1.144; Python 3.8+ en el PATH; Una vía de API funcional (suscripción, clave de API o proveedor de terceros)
El marketplace viene activado por defecto en Claude Code; o explóralo con /plugin > Discover
Ejecuta los comandos/agentes del plugin como se describe en su README
Comprobación de confianza: Anthropic advierte que confíes en un plugin antes de instalarlo, ya que no puede verificar los servidores MCP, archivos o software incluidos
Permisos y seguridad
A qué puede acceder
Se ejecuta dentro de Claude Code; los comandos, agentes y hooks usan los permisos de herramientas de Claude Code (consulta el README del plugin para los detalles)
Notas de seguridad de los responsables
README del marketplace: asegúrate de confiar en un plugin antes de instalarlo, actualizarlo o usarlo
Revisa el código fuente antes de dar a un agente acceso a credenciales o sistemas de producción. Documentamos lo que declaran los responsables; no auditamos el código.
