상위 폴더 하나를 지정해 security-sweep으로 한 번에 훑으면 됩니다.
security-sweep은 지정한 루트 아래의 lockfile을 찾아 프로젝트와 생태계를 자동으로 판별하고, 프로젝트마다 osv-scanner와 trivy를 돌린 뒤 결과를 하나의 P0~P3 보고서로 합칩니다. 서버(ssh, 읽기 전용)와 컨테이너 이미지도 같은 요청에 넣을 수 있습니다.
한 문장으로 실행
/security-sweep:security-sweep ~/work 아래 모든 프로젝트 취약점 점검해줘
/security-sweep:security-sweep ~/work/projects 전체랑 서버 web1, web2 (ssh), 이미지 myapp:prod 점검해줘설치: /plugin marketplace add baryonlabs/security-sweep 후 /plugin install security-sweep@baryonlabs-security
무엇을 찾아 무엇으로 점검하나
| 대상 | 찾는 방법 | 점검 도구 |
|---|---|---|
| 프로젝트 | lockfile·매니페스트로 판별: npm, PyPI, Hex, Go, Cargo, Packagist, RubyGems, Maven | osv-scanner(lockfile별), trivy fs(비밀·설정), 선택: govulncheck, elixir-security-audit |
| 서버 | 사용자가 이름을 댄 호스트만 | 원격에 trivy가 있으면 trivy rootfs(읽기 전용), 없으면 패키지 목록만 수집 |
| 컨테이너 이미지 | 이름을 지정하거나 실행 중인 컨테이너 이미지 목록 | 로컬 trivy image |
실제 결과: 26개 프로젝트를 한 번에
2026-10-23 개발자 맥북 한 대의 ~/projects를 한 번 돌린 결과입니다.
| 항목 | 결과 |
|---|---|
| 탐지된 프로젝트 | 26개, 그중 취약점이 나온 곳 15개 |
| 고유 권고 | 75개, 전부 OSV 실재 확인 (404 0건, KEV 0건) |
| 우선순위 | P0 0 · P1 107 · P2 72 · P3 2 |
| 비밀값 | 3건 (값은 마스킹) |
P1 107건 중 99건은 pillow 12.3.0(81건)과 sharp 0.34.5(18건) 두 패키지입니다. 여러 프로젝트를 한 번에 보면 “어느 패키지를 올리면 몇 건이 사라지는지”가 보입니다.
점검 다음 순서
- 패키지별로 묶어 읽습니다 (개수보다 올릴 패키지 수).
- P0/P1은 Claude가 코드 근거를 열어 확정·조정합니다 (
triage.md). - 프로젝트별 최소 업그레이드를 별도 브랜치에서 적용하고 테스트합니다.
- 그 프로젝트만 다시 스캔해 줄어든 것을 확인합니다. 예시에서는 5건 → 1건이었습니다.
실제 예시 보고서 보기 · 우선순위 규칙 보기 · security-sweep 소개로 돌아가기
자주 묻는 질문
프로젝트가 아주 많아도 되나요?
됩니다. 다만 프로젝트가 50개를 넘거나 서버가 포함되면 진행 전에 한 번 확인을 받습니다. 탐색 깊이는 --max-depth로 조절합니다.
점검하면서 코드나 lockfile이 바뀌나요?
아니요. 스윕은 읽기 전용이고 수정 명령은 제안만 합니다. 수정은 사용자가 지시한 프로젝트만 별도 브랜치에서 합니다.
security-sweep이란?
security-sweep은 한 문장 요청으로 여러 프로젝트·서버·컨테이너 이미지의 알려진 취약점을 한 번에 점검하는 오픈소스 Claude Code 스킬입니다.
/plugin marketplace add baryonlabs/security-sweep
/plugin install security-sweep@baryonlabs-security