インストール
Open this repo in Claude Code and run /quickstart誰向けか
この材料は、Claude と一緒に自律的な脆弱性発見と修正をしたい人向けであり、とくにすでに Claude Code を使い、先に参考実装を見たい安全の人に向く。著者といくつかの組織の安全チームが協力した経験に基づく。対応ページは https://www.anthropic.com/glasswing リポジトリは自分を参考実装と位置づけ、継続更新を保証する製品ではない。
対話側は /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize を提供し、定向、スキャン、判定、修正を覆う。先に範囲をはっきりさせ、対象に手を出すかを決めるなら、先に /quickstart を歩く。対象コードを実行する自律経路をいきなり走らせない。
まだ保守されている公式製品としては合わない。リポジトリはもう保守せず、貢献を受けないと書く。隔離環境を用意していないときに vuln-pipeline、dnr-pipeline、またはそうした結果へ /patch を直接走らせるのにも合わない。これらの経路は対象コードを実行する。
3分で最初の試みを終える
公式入口は：このリポジトリを開き、Claude Code で /quickstart を走らせて方向を知る。住所は https://github.com/anthropics/defending-code-reference-harness
説明に他のインストーラや市場コマンドはない。自分で補わない。
前提：本機ですでに Claude Code を実行でき、この参考リポジトリを読み取り専用の定向として開くだけである。インストール位置は、そのリポジトリをワークスペースとして開くことであり、別のグローバルパッケージを入れることではない。開いたら先に /quickstart などのスラッシュコマンドが見えることを確認する。
低リスクな最初の作業：/quickstart だけを走らせる。これは対話式定向であり、範囲をはっきりさせるためのもので、外部システムへスキャンや修正を仕掛けるものではない。起動前にサンドボックス上書きスイッチを変えない。vuln-pipeline や dnr-pipeline も起動しない。成功の合図は、Claude Code が定向説明を出し、コマンド一覧に /threat-model、/vuln-scan、/triage、/patch、/customize が見えること。
定向のあと次へ進みたいなら、可逆の /threat-model で範囲を話し、/patch ではない。リポジトリは /quickstart がどのファイルを変えるか書いていない。明確な書き込み提示を見るまで、ファイル変更を承認しない。
使用事例
事例一：Claude Code で対話式定向と脅威モデリングをする。先に /quickstart で材料の使い方を知り、必要なら /threat-model または /vuln-scan。説明はこれらのコマンドを対話式定向、スキャン、判定、修正と要約するが、各コマンドの引数を段階的には書かない。コマンドが出なければ https://github.com/anthropics/defending-code-reference-harness へ戻り、リポジトリがワークスペースとして開いていることを確認する。
事例二：自律的な脆弱性発見と修正の経路を参考にする。リポジトリは vuln-pipeline、dnr-pipeline、およびそうした結果への /patch を名指しする。これらの経路は対象コードを実行するので、明示的に上書きしない限り、デフォルトでは gVisor サンドボックスの外での実行を拒む。隔離環境をすでに用意し、参考実装がどう自動発見と修正をするかを研究する人に合う。説明に上書きスイッチの具体コマンドはなく、結果をそのまま本番へ出せる保証もない。サンドボックスが整う前に起動しない。
使用の境界
保守状態：リポジトリはもう保守せず、貢献も受けない。参考にしかできない。実行リスク：vuln-pipeline、dnr-pipeline、およびそうした結果への /patch は対象コードを実行し、デフォルトで gVisor サンドボックスを要求する。導入経路：公式は Claude Code でリポジトリを開き /quickstart を走らせるとしか書いていない。記載のないインストーラは使わない。コマンド範囲は /quickstart、/threat-model、/vuln-scan、/triage、/patch、/customize まで照合できる。他の操作を捏造しない。材料の性質は参考実装であり、あらゆるコード言語やあらゆる組織の流れに継続適応するとは書いていない。