CLI Security Scan

O comando scan da CLI do ABS Core agora faz parte da experiência terminal v3.2, com auditoria local gratuita, saída formatada para humanos e suporte estruturado para automação.

Uso rápido

Você pode executar o scanner diretamente via npx sem instalação global:

npx @oconnectortechnology/abs-cli scan

Também é possível usar a CLI já instalada:

abs scan
abs core
abs

Novidades do v3.2

• abs abre um terminal interativo com atalhos para scan, core, status, audit e verify.
• abs core é o alias oficial para iniciar a sessão governada do ABS Core.
• abs scan roda em modo read-only, sem materializar _consolidated/STATE.md automaticamente.
• --json está disponível para integração com CI/CD e automações.
• A saída do terminal foi aprimorada com banner, status colorido, tabelas de findings e trilha de auditoria legível.

Opções

• -w, --workspace <path>: Define o diretório que será analisado, padrão: diretório atual.
• --json: Emite saída estruturada para automação e pipelines.

Como funciona

O scanner atribui uma pontuação de 0 a 10 ao projeto com base em quatro pilares:

1. Detecção de arquivos sensíveis

Busca artefatos que não devem ser versionados nem expostos em texto puro:

• .env
• .env.local
• id_rsa
• key.pem
• credentials.json

Penalidade: -2 pontos por arquivo encontrado.

2. Auditoria de conteúdo

Analisa arquivos .env e .env.local em busca de padrões conhecidos de API key, como OpenAI, Google AI e Slack.

Penalidade: -1 ponto se um padrão for detectado.

3. Integridade de governança

Valida a presença de _consolidated/STATE.md, artefato necessário para continuidade governada do workspace.

Penalidade: -1 ponto se estiver ausente.

4. Verificação de políticas

Checa a existência de políticas customizadas em /policies. Se nenhuma política for encontrada, o relatório informa que o safe mode padrão será aplicado.

Status e score

• 8-10: SENSITIVE_READY
• 5-7: ATTENTION_REQUIRED
• 0-4: CRITICAL_FAIL

Quando o score fica abaixo de 5, o comando retorna exit code 1, o que permite bloquear pipelines inseguros.

Exemplos

# Scan gratuito local
npx @oconnectortechnology/abs-cli scan

# Terminal interativo
abs

# Sessão governada
abs core

# Integração com CI/CD
abs scan --json
abs status --json
abs audit --json

Outros comandos úteis

• abs status: Mostra a saúde do runtime local e a presença dos artefatos de governança.
• abs audit: Exibe os últimos eventos do WORKLOG.wal em formato tabular ou JSON.
• abs verify: Verifica a integridade da cadeia hash do WAL.
• abs freeze: Materializa os eventos recentes no arquivo de estado consolidado.

Recomendações

• Remova segredos em texto puro do workspace.
• Use cofre seguro ou injeção em tempo de execução para credenciais.
• Mantenha _consolidated/STATE.md materializado quando operar agentes governados.
• Adicione políticas customizadas em /policies para enforcement mais forte.