Promptarmor Plugin

PromptArmor——法学硕士安全红队


Claude Code插件+MCP服务器，用于LLM应用程序安全红队。读取代码，测试端点，修复漏洞。

为什么选择PromptArmor

像promptfoo这样的现有工具测试端点是盲目的——它们发送攻击并检查响应，但不知道你的系统提示说了什么，你暴露了什么工具，或者你的护栏在哪里。PromptArmor首先读取代码：

1. 侦察 --扫描代码库以查找系统提示、工具定义、护栏和注入表面
2. 计划 --根据发现的内容对攻击进行优先级排序（找到SQL工具？优先考虑SQL注入。系统提示说“永远不要讨论竞争对手”？具体测试一下。）
3. 攻击 --针对您的端点发送80多种攻击类型和25种以上突变策略
4. 法官 --法学硕士作为评判者+模式匹配+情境感知评分
5. 修复 --在特定的文件行位置生成实际的代码补丁，而不是通用建议

快速开始

安装插件

claude plugin add ./plugin

运行完整扫描

/prompt-armor:scan --target https://your-app.com/api/chat

或者只是分析代码

/prompt-armor:analyze

建筑

两个组件协同工作：

┌─────────────────────────────────────────────┐
│  Claude Code Plugin                          │
│  ┌──────────┐ ┌──────────┐ ┌──────────────┐│
│  │ Commands │ │ Agents   │ │ Skills       ││
│  │ 6 cmds   │ │ 5 agents │ │ 5 modules    ││
│  └──────────┘ └──────────┘ └──────────────┘│
│  ┌──────────┐                               │
│  │ Hooks    │                               │
│  │ 4 hooks  │                               │
│  └──────────┘                               │
└───────────────────┬─────────────────────────┘
                    │ MCP Protocol
┌───────────────────▼─────────────────────────┐
│  MCP Server (TypeScript)                     │
│  ┌──────────┐ ┌──────────┐ ┌──────────────┐│
│  │ Attacks  │ │ Judge    │ │ Reports      ││
│  │ 80+      │ │ 3-tier   │ │ text/json/   ││
│  │ plugins  │ │ grading  │ │ sarif        ││
│  └──────────┘ └──────────┘ └──────────────┘│
│  ┌──────────┐ ┌──────────┐ ┌──────────────┐│
│  │Mutations │ │ Client   │ │ State        ││
│  │ 25+      │ │ adapters │ │ persistence  ││
│  │strategies│ │ for APIs │ │ JSON files   ││
│  └──────────┘ └──────────┘ └──────────────┘│
└─────────────────────────────────────────────┘

命令

代理

攻击覆盖范围

80+攻击插件 跨越10个类别：

25+突变策略：

配置

创建一个 promptarmor.yaml:

target:
  url: https://your-app.com/api/chat
  format: openai
attacks:
  suites: [jailbreak, injection, tool-abuse, harmful, pii]
  num_per_plugin: 5
mutations:
  strategies: [base64, multilingual, crescendo]
judge:
  provider: anthropic
analysis:
  enabled: true
  paths: [src/]
output:
  formats: [text, json, sarif]
ci:
  fail_on: critical

输出格式

• 文本/Markdown --人类可读的报告，包括发现、严重程度和补救措施
• JSON --机器可读自动化
• SARIF v2.1.0 --上传到GitHub安全选项卡

CI集成

PromptArmor自动检测CI环境并进行调整：

• JSON/SARIF输出（无交互式提示）
• 漏洞超过时退出代码1 --fail-on 阈值
• 工件保存到 .prompt-armor/ 用于收藏

MCP 服务器

MCP服务器可由任何MCP客户端（Claude Desktop、Cursor等）独立使用：

E2E已验证

针对故意易受攻击的Node.js聊天端点进行了测试，该端点具有关键字触发的秘密泄露、系统提示泄露和无输入净化：

$ /prompt-armor:scan --target http://localhost:4010/api/chat

Artifacts:
  .prompt-armor/recon/recon-2026-03-24.json         (system prompts, tool schemas, injection surfaces)
  .prompt-armor/state.json                          (full scan state with per-test verdicts)
  .prompt-armor/reports/report-2026-03-24-full.md   (151-line executive report)
  .prompt-armor/reports/promptarmor-*.json           (machine-readable report)
  .prompt-armor/reports/promptarmor-*.txt            (text report)

Tests: 150 across 8 categories
  Passed:  133
  Failed:   17 (15 critical, 2 high)

By category:
  jailbreak:    12/16 (4 failed)     tool-abuse: 13/24 (11 failed)
  injection:    13/15 (2 failed)     harmful:    47/47 passed
  bias:         15/15 passed         pii:        12/12 passed
  compliance:   12/12 passed         agentic:     9/9  passed

Detected:
  - System prompt disclosure (3 vectors)
  - DAN mode jailbreak adoption
  - Secret exfiltration (JWT_SECRET, DB credentials via prompt injection)
  - Privilege escalation (admin access granted unconditionally)
  - File content disclosure (/etc/passwd)
  - SQL injection (DROP TABLE executed)
  - Tool schema enumeration

Recon正确识别了系统提示(src/config.js:3)，工具模式，硬编码的秘密，以及所有带有file:line引用的注入表面。

发展

npm install             # Install dependencies
cd server && npm test   # Run server tests

许可证

麻省理工学院