Trent

Trent Agent 插件

Trent 是一名 AI 安全工程师。审查代码、计划和配置中的安全问题，对代码库或网站运行威胁建模，并跟踪修复进度，全程无需离开编辑器。

安装

按仓库名称添加市场。trnt-ai/trent-agent-plugin 是唯一提供 Trent 的公开市场；按名称添加才能将安装来源绑定到我们。（插件清单不带签名，因此你信任的是名称；切勿通过 URL 添加市场中的文件。）

Claude Code：

/plugin marketplace add trnt-ai/trent-agent-plugin
/plugin install trent@trent

Codex CLI：

codex plugin marketplace add trnt-ai/trent-agent-plugin
codex plugin add trent@trent

运行 claude plugin details trent，检查已安装的内容。它会打印 Source: trent@trent 和清单的身份字段。

登录

该插件声明了一个远程 MCP 服务，且不需要凭据。首次运行工具时会在浏览器中进行身份验证；无需粘贴 API 密钥，此处也不会附带任何密钥。

使用

用日常语言向你的编码 Agent 提出要求；插件的技能会告诉它该使用哪个 Trent 工具：

• 审查一项工作（差异、计划、配置）：trent-security-advisor。
• 扫描代码库或网站并查看 Trent 的发现：使用 trent-threats；对于当前所在的代码库，也可以使用 trent-repo。
• 修复 Trent 发现的问题：运行 /trent:trent-loop，或运行 /trent:trent-loop 3，最多修复三个问题。它会在新分支上工作，使用你自己的测试和 Trent 的安全顾问检查每项修复，并为你创建一个拉取请求以供审查。合并后再次运行：Trent 会扫描已合并的代码，报告哪些修复现已计为完成，然后继续处理其余问题。

验证发布来源

每个版本都对应一个提交，其消息中包含构建来源的修订版本：

Published from source revision <sha>

在本仓库的克隆目录中运行 git log -1 即可查看。<sha> 是标识符，不是链接；没有可供跳转的目标。它提供的是你当前运行的构建的准确名称：把它发给支持团队，他们就能确认你使用的是哪个版本。如果该插件副本没有这种格式的消息，就不是我们发布的。

每个版本的拉取请求还会运行一项名为 provenance 的检查，确保提交符合这种形式：main 上只有一个提交，提交主题符合要求，文件为纯文本文件，并且内容变更时版本也已变更。该检查只读取提交，不持有任何凭据。

插件清单将 https://github.com/trnt-ai/trent-agent-plugin（即本仓库）指定为 repository，并将 trent.ai 指定为 homepage。任何其他来源的插件即使声称是 Trent，也不是我们的插件。

固定版本

每个版本都会在该版本发布的提交上打上 plugin-v<version> 标签。在克隆目录中运行 git tag -l 可列出这些标签。这里的标签不会移动：仓库规则会阻止其移动，因此固定版本后始终会解析到相同的文件。

在 Team 或 Enterprise 套餐中，管理员可以在 managed-settings.json 中为所有人注册此市场，并固定到某个版本。ref 是标签，sha 是该标签指向的提交；两者都设置时，sha 用于固定版本，ref 则说明该版本的来源：

{
  "extraKnownMarketplaces": {
    "trent": {
      "source": {
        "source": "github",
        "repo": "trnt-ai/trent-agent-plugin",
        "ref": "plugin-v0.1.0",
        "sha": "<the 40-character commit plugin-v0.1.0 names>"
      }
    }
  },
  "enabledPlugins": { "trent@trent": true }
}

请从标签读取 sha，不要从其他地方复制：

git ls-remote https://github.com/trnt-ai/trent-agent-plugin refs/tags/plugin-v0.1.0 'refs/tags/plugin-v0.1.0^{}'

往回一行表示标签指向该提交：固定到该提交即可。往回两行表示标签带注释；以 ^{} 结尾的那一行指向提交，应固定到该提交。

之后升级时，只需有意编辑这两个字段，而不是在某人重新安装时自动发生。

获取帮助

如有疑问、错误报告或功能请求，请访问 https://trent.ai 或通过你通常使用的支持渠道联系我们；问题会在那里得到答复。

本仓库的内容会在每个版本发布时从 Trent 的构建产物生成；其中所有文件都是生成的，因此这里不是提交问题或修复问题的地方。

许可

Copyright Trent AI。许可条款请参阅 LICENSE；条款未解答的问题请访问 https://trent.ai。