ai-runtime-security-sandbox
一个本地运行的 RAG 聊天机器人安全沙箱，通过 7 个实时攻击场景演示 OWASP LLM Top 10 与 Agentic Top 10 漏洞，支持安全/脆弱模式切换、离线 mock 提供方及 OpenAI、Claude、Gemini 等接入。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,265 个结果
doppler
Doppler 是一个密钥（secrets）管理平台，本技能提供其 CLI 操作、项目/配置/环境管理、密钥注入、CI/CD 集成与安全最佳实践的辅助。支持通过 doppler run 将密钥作为环境变量注入命令、挂载为文件、模板替换，以及离线回退文件等能力。适用于本地开发、CI/CD 与生产环境的密钥统一管理。
V3 Security Overhaul
V3 Security Overhaul 是面向 claude-flow v3 的完整安全架构改造技能，用于修复严重 CVE 漏洞并建立安全优先的开发实践。它通过专门的安全代理并行编排安全架构设计、CVE 修复和安全测试任务。资料中列出的三项严重修复包括：CVE-1 依赖漏洞（升级 @anthropic-ai/claude-code 并执行 npm audit 扫描）、CVE-2 弱密码哈希（从带硬编码盐的 SHA-256 改为 12 轮 bcrypt）、CVE-3 硬编码凭证（改用随机生成的密钥）。同时提供多种安全模式：使用 Zod 做输入校验、路径净化以防御路径穿越、以及通过 execFile 关闭 shell 解释来安全执行命令。该技能还给出成功度量标准：安全评分 90/100、关键漏洞 100% 修复、安全关键代码测试覆盖率超过 95%。
security-reviewer
Security Reviewer 是一款面向 Web 应用、API 与 CLI 的多语言安全审查技能，在代码新增或修改时给出按严重程度排序的简短发现，包含文件路径、证据与具体修复建议，而非冗长报告。
crypt
Crypt 是一个面向密码学架构设计的智能体技能，用于将安全需求转化为具体的算法选型、密钥管理方案、端到端加密（E2EE）架构、签名系统与 TLS 配置。它强调使用成熟库而非自研密码原语，按 NIST/IETF 现行建议选型，内置密钥轮换设计，并为每项建议指定精确参数（密钥长度、迭代次数、IV/nonce 处理）。Crypt 覆盖算法选择、密钥管理、E2EE、TLS、签名方案、口令哈希、KMS 集成、后量子迁移、移动端密钥（iOS Keychain/Secure Enclave、Android Keystore/StrongBox、Passkey/WebAuthn）等场景，并提供反模式检测清单与后量子就绪评估。它不负责静态代码扫描、动态安全测试、隐私工程、攻击建模、合规映射、API 端点设计、基础设施部署或移动端功能实现，这些任务应路由到其他技能。
spring-security-testing
面向 Spring Security 测试的技能，覆盖 @WithMockUser、@WithUserDetails、csrf()、jwt()、oauth2Login() 等用法，兼容 Spring Boot 3.2+ / 4.x 与 Spring Security 6.x / 7.x，需注意 7 版方法安全默认值与 CSRF 处理变化。
cms-detection
CMS Detection 是一个用于识别在线主机所使用内容管理系统、Web 框架、服务器软件及技术栈的技能。它能够判断目标站点运行的是 WordPress、Drupal、Joomla、Magento、Shopify、Wix、Squarespace 等 CMS，还是 Laravel、Django、Express、Spring Boot 等 Web 框架，并尽量确定具体版本，以便与已知 CVE 进行匹配。该技能提供了从批量指纹识别到 CMS 专属版本检测、服务器与框架检测、技术栈归类及版本到 CVE 映射的完整流程，适合在对授权目标开展安全测试前先了解其技术栈。
google-dorks-catalog
google-dorks-catalog 是一套高精度的 Google Dorks 目录，来自 uphiago/recon-skills 技能库，用于在被动侦察阶段发现暴露的配置文件、密钥和凭据。该目录聚焦于真实环境中经过验证的搜索语法，覆盖环境变量文件、日志、备份文件、版本库配置等敏感资源。其核心用途是帮助安全人员在主动扫描之前，通过搜索引擎和 GitHub 代码搜索定位潜在的泄露信息，从而扩大侦察面。目录内容按类别组织，包括关键暴露文件、全扩展名配置泄露、服务专属查询（如 Supabase、Firebase、AWS、SendGrid、MongoDB、PostgreSQL、JWT、OpenAI、GitHub Token）以及 GitHub 代码搜索模式，并附有证书 SAN 发现命令和真实案例说明。该技能还提示了速率限制、误报等常见陷阱与缓解方法，以及结果验证步骤。
code-audit
Code Audit Agent Skill 是一个用于对任意代码库进行全面代码审计的技能。它通过分析项目结构、语言、框架、基础设施和 CI/CD 配置，规划并执行安全扫描、硬编码密钥检测、依赖漏洞检查、测试覆盖率及代码质量分析。该技能支持多种外部工具（如 Semgrep、TruffleHog、Trivy 等），并包含一个零依赖的 Node.js 基线脚本，使用正则和启发式规则覆盖结构、密钥、安全、依赖、测试、导入和 AI 模式。审计结果按严重性分级，生成详细报告，帮助用户优先处理关键问题。
secure-vault
secure-vault 是用于加密存储密钥的本地工具，配合本地密钥文件保护数据，灵感来自 ZeroClaw 的加密方案。支持设置、读取、列出、删除、导入导出密钥，首次使用时自动生成加密密钥。
security-scan
用于应用、基础设施与依赖的全面安全扫描技能，结合 LLM 分析与行业工具发现漏洞、错误配置与合规差距，可接入 CI/CD，需注意误报与工具授权。
testing-security
用于测试应用安全漏洞的技能，涵盖漏洞扫描、渗透测试、认证授权测试、输入校验与注入测试、安全配置审查、依赖检查等，并给出结合 SAST、DAST 与依赖审计工具的执行示例。
code-reviewer
这是一个基于研究实践与 OWASP Top 10 安全清单的代码审查技能，可用于自动化安全审计、性能模式检测与代码质量标准检查。它支持集成 SonarQube、CodeQL、Snyk 等 SAST 工具，并输出分级的审查报告。
recon-nmap
基于 Nmap 的授权网络侦察与安全审计技能，涵盖主机发现、端口扫描、服务与版本枚举、操作系统指纹识别及 NSE 漏洞检测，并提供从授权核验到结果报告的结构化工作流与常见扫描模式示例。
security-scanner
Security Scanner 是一个面向代码安全分析的技能，可识别 OWASP Top 10 漏洞、检测硬编码密钥并审查安全配置，支持通过 /security 命令或安全审查请求触发。
command-injection-testing
命令注入漏洞测试的专业技能与方法论，介绍漏洞原理、检测点识别、基础与盲注测试、时间延迟与外带数据验证、常见绕过技术、Commix 与 Burp Suite 工具使用，以及输入验证、参数化和白名单等防护措施；仅限授权测试环境使用。
security
面向 Web 应用的安全最佳实践技能，适用于处理用户输入、身份认证或敏感数据的场景，涵盖 XSS、SQL 注入、CSRF、环境变量等主题。
beforemerge-supabase-review
BeforeMerge 的 Supabase 代码审查规则集，覆盖 RLS 安全、认证模式、查询性能、迁移流程与类型安全，按影响优先级分为安全、性能、架构、质量四类，用于 PR 审查、新表与策略编写及既有代码审计。
capacitor-ios-security-hardening
面向 Capacitor iOS 应用的 Xcode 安全加固技能：审计 ios/App/App.xcodeproj（scheme App）与原生插件的安全相关构建设置，并在用户逐阶段批准后启用，只改构建设置与 entitlements，不涉及 Web 代码、ATS、签名或密钥。
oauth2
聚焦 OAuth 2.0 授权框架的知识型技能，覆盖授权码流程、令牌交换与第三方登录集成。适用于处理 OAuth 相关问题，如生成授权 URL、回调换取令牌、PKCE 扩展与令牌刷新；不适用纯 JWT 自建认证、NextAuth.js 或 API 间通信。
secure-code-review
面向 Hack23 项目的安全代码审查技能，通过审查规则、检查清单与自动化扫描，在代码进入生产前发现漏洞、不安全模式与合规问题。
security-review-process
针对 Ruby 代码的安全审查流程规范：输入参数先经白名单过滤、禁止 SQL 字符串插值、不得提交或记录密钥、变更前运行 bundle-audit，按威胁向量向用户汇报漏洞并验证修复。
checking-session-security
用于审计 Web 应用会话管理实现的安全技能，可识别会话固定（CWE-384）、会话过期不足（CWE-613）、会话令牌明文传输（CWE-319）等漏洞，并生成按严重程度分类的会话安全报告。
coderabbit-security-basics
CodeRabbit Security Basics 是一个用于配置和审计 CodeRabbit 安全审查能力的技能，定位为纵深防御式拉取请求（PR）流程中的一层。它指导操作者识别 CodeRabbit 组织、Git 提供商、仓库、套餐与责任人，在保留独立扫描器和人工审查的前提下，配置仓库安全扫描、安全 Change Stack 视图，以及静态、密钥、依赖和基础设施分析器等工具层。技能强调 AI 发现不能证明漏洞不存在，要求使用合成或只读证据、区分各类凭据、不将密钥写入配置文件或日志，并在禁用工具、排除敏感路径或接受高风险发现前取得安全审批。输出包括威胁控制矩阵、补丁、独立门禁清单、夹具证据、缺口与升级路径。