Outil open-source · MIT · zero network
Sépare le métal pur
des impuretés.
Cupel audite localement les skills IA installés sur ta machine — Claude Code, Cursor, Codex, Windsurf, Gemini, Continue. Il détecte les prompt injections, l'exfiltration de credentials, les reverse shells et 8 autres signaux d'attaque supply-chain.
Le nom est emprunté à la coupelle, l'instrument de l'essayeur d'or depuis 4000 ans : on y dépose l'échantillon, on chauffe, les impuretés sont absorbées, le métal pur reste.
Comment ça marche
Tu lances
Une seule commande dans ton terminal, depuis n'importe quel dossier de projet ou ton home directory.
npx @aissabelkoussa/cupel
Cupel chauffe
Le scanner parcourt tes installations Claude Code, Cursor, Codex, Windsurf, Gemini, Continue. 11 règles de détection, scoring composite, zero network.
Les impuretés ressortent
Tu obtiens un tableau coloré : tier ok / warn / danger, avec pour chaque skill suspect la ligne de code exacte qui pose problème. Tu décides ce que tu désinstalles.
Ce que cupel détecte
14 catégories de signaux, scoring composite
shell_pipe_to_interpreterreverse_shell_tcprm_rf_rootprompt_injectioncred_file_readcredential_patternwebhook_exfilpowershell_iwr_iexeval_dynamicinvisible_unicodetool_poisoning_directivehex_escape_chainno_manifestunsignedstaleLes installeurs trusted (rustup, nodejs.org, homebrew) sont reconnus et leur poids divisé par 2 — pas de faux positif sur les setups légitimes.
Tarifs
Le CLI est libre. L'humain qui auditera ton stack a un prix.
CLI gratuit
Scan illimité, sur ta machine
- npx @aissabelkoussa/cupel — zéro install, zéro compte
- Scan ~/.claude/, ~/.cursor/, ~/.codex/, …
- Sortie JSON + SARIF pour CI / pipelines
- Code MIT auditable
Audit async
1 freelance ou indépendant
- Rapport PDF 12-18 pages avec recommandations actionnables
- Politique CI prête à coller dans ton .github/workflows/
- 30 min Loom commenté de la relecture humaine
- Livraison sous 5 jours ouvrés — pas de calendrier à caler
- 7 jours de support email post-audit
Audit équipe
Jusqu'à 10 devs
- Audit complet des skills déployés en équipe
- Politique de validation des skills (process écrit)
- Formation 2 h des leads sur les risques détectés
- Rapport pour CTO / Head of Security
- 30 jours de support email
Cupel Org
Org 30+ devs, SLA, sessions trimestrielles
- Audit complet multi-équipes
- Politique CI custom + intégration outillage interne
- 2 sessions de revue trimestrielles
- SLA réponse 24 h sur incident sécurité
- Accès direct par message privé
Trente secondes pour scanner ton workspace.
Tape la commande, lis le rapport, désinstalle ce qui doit l'être. Si tu veux qu'on regarde ensemble, je prends deux audits par mois.
npx @aissabelkoussa/cupel