janitor-security
对已安装技能进行启发式安全扫描的工具，检测提示注入短语、隐藏 Unicode 指令、凭据存储访问、网络管道到 shell 等可疑模式，输出 RISK/REVIEW/PASS 判定，供用户自行判断。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,272 个结果
genesis-auth
genesis-auth 是 genesis 项目脚手架的身份认证技能，用于为项目添加登录、会话、SSO 与管理员用户。用户只需选择 basic/standard/strict 认证等级并说明需求，技能自行推导实现机制并直接写入目标项目代码。
codeql
面向 .NET 安全分析的 CodeQL 技能，指导在仓库中配置 CodeQL 查询包与基于 CLI 的开源代码分析，或将其接入 GitHub code scanning 流程。资料未提供具体价格与授权条款细节。
safe-file-deletion
safe-file-deletion 是一项强制在删除任何文件前先获取用户明确许可的规则技能，适用于 rm、unlink、fs.rm、fs.rmdir 等删除操作，防止未经授权的文件删除。
vex
微软 hve-core 提供的 VEX 技能，结合 OpenVEX v0.2.0 规范参考与可复用的 VEX 管理手册，用于在项目中实施、审查和验证 VEX 文档，并配合 CVE 可利用性分析工作流。
implementing-browser-isolation-for-zero-trust
用于在零信任架构中部署远程浏览器隔离（RBI）的技能。依据 URL 分类与风险等级制定隔离策略，支持内容拆解与重建（CDR）、会话监控及与 SWG、ZTNA、身份提供商等集成。
performing-file-carving-with-foremost
使用 Foremost 通过文件头尾签名从磁盘镜像和未分配空间中恢复文件，适用于文件系统元数据不可用或存储介质被格式化、擦除后的取证场景，可配合 Scalpel、blkls 等工具完成雕刻、校验与编目。
new-tech-pia
面向物联网、区块链、AR/VR、量子计算、数字孪生等新兴技术的隐私影响评估（PIA）结构化方法论技能，涵盖各类技术的隐私风险画像、五阶段评估流程、隐私设计要求和执法先例，基于GDPR第35条及EDPB、CNIL等监管指引。
nist-pf-communicate
面向 NIST 隐私框架 COMMUNICATE（沟通）职能的技能文档，梳理 CM.AW 意识提升与 CM.PO 沟通政策两类子类别，提供透明度机制、隐私告知分层架构、沟通渠道与审批流程等实施指引。
nist-privacy-identify
用于实施 NIST 隐私框架 IDENTIFY 职能的技能，覆盖 ID.IM 清单与映射、ID.BE 业务环境、ID.RA 风险评估与 ID.DE 数据处理生态风险管理四大类，并给出与 GDPR 条款的对应关系及分阶段实施方法。
api-security-testing
该技能用于围绕 API 攻击面、输入边界、身份权限、错误泄露和安全合同开展有证据边界的 API 安全测试分析与验证准备，输出可复核的初版结论，并区分已知事实、推断与候选验证。
ai-safety-alignment
面向 LLM 应用的安全护栏技能，基于 OpenAI Moderation API 等实现内容审核、防越狱与提示注入防护，强调输入输出双侧校验、纵深防御、失败关闭与人工审核。
security-diff-scan
security-diff-scan 是 OpenAI 插件中的安全审查技能，用于对拉取请求、提交、分支差异或工作区补丁进行安全漏洞审查，覆盖所有变更源文件（含被删除文件），并沿变更行为追踪到支撑代码，但不扩展为无关的整库审计。
triage-finding
triage-finding 是用于对安全发现进行静态证据分诊的技能：接收 SARIF、CVE、公告、扫描器工单、漏洞赏金报告、Codex Security 产物或自由文本漏洞声明，结合仓库安全策略与代码证据，为每条发现给出 confirmed、not_actionable 或 needs_review 的结论，并分别按可利用性排序。
ping-universal-services
Ping 共享战略服务的配置技能，覆盖 PingOne Protect 风险评分、PingOne Verify 身份验证/KYC、PingOne Credentials 可验证凭证、PingOne IGA 治理、PingOne Authorize 细粒度授权与跨平台 SSO，适用于在流程中调用而非独立部署的产品配置。
configure-nginx
配置 Nginx 作为 Web 服务器与反向代理的技能，涵盖静态文件服务、反向代理上游服务、使用 Let's Encrypt 终止 SSL/TLS、安全加固、限流与负载均衡，并提供 Docker Compose 与裸机两种部署方式。
reverse-engineering
逆向工程技能，通过 MCP 服务器接入 Ghidra、IDA Pro、radare2、angr，用于二进制分析、反汇编、反编译、恶意软件与漏洞研究、CTF、固件提取、补丁对比、符号恢复与控制流分析等场景。
secret-scan
Secret Scan 是一个用于扫描工作区或 git diff 中硬编码密钥的技能，可检测 API 密钥、令牌、私钥、连接字符串和云凭证等常见提供商的敏感信息。它无需注册，纯 Claude Code 环境即可运行，适用于提交前检查或全树扫描，帮助在凭证进入 git 历史前发现泄露风险。
security-headers-check
Security Headers Check 是一个用于检查任意 URL 的 HTTP 安全响应头的技能，无需注册即可使用。它会针对 CSP、HSTS、X-Frame-Options、X-Content-Type-Options、Referrer-Policy 和 Permissions-Policy 六类安全头逐项评估，并给出 A-F 的等级评分。该技能依赖 Playwright MCP（随 Claude Code 提供），通过浏览器导航并捕获网络响应头，然后按预设规则判断每个头是否存在、配置是否合理，最后输出包含问题项、通过项和可直接复制的修复建议的报告。
sonar-dependency-risks
sonar-dependency-risks 是一个用于在 SonarQube 项目中搜索软件成分分析（SCA）依赖风险的技能。它通过 SonarQube MCP Server 调用 search_dependency_risks 工具，查询项目、应用或组合中出现的依赖风险及其对应版本，支持指定项目、分支和拉取请求。使用前需具备 SonarQube Advanced Security（SonarQube Cloud Enterprise 计划，或 SonarQube Server 2025.4 Enterprise 及以上版本），并配置好 MCP Server。若 MCP 工具不可用，可回退到 CLI 命令 sonar api get 查询。结果按严重程度分组以表格呈现，包含依赖、版本、风险和 CVE 等信息。
tenzir-cef
该技能用于解答 ArcSight CEF（Common Event Format，现由 OpenText 维护的 SIEM 事件交换格式）相关问题，并生成字段映射。它提供 CEF 事件头结构、严重级别、字符编码与转义规则，以及扩展键（extensions.yaml）的逐项参考，包括键名拼写、完整名称、数据类型、长度、生产者/消费者适用性和引入版本。同时覆盖 ArcSight ESM 事件模式：CEF 完整名称即 ESM 脚本别名，可通过 catalog.yaml 选择模式分组并查阅 groups/<group>.yaml 字段。还提供防火墙、防病毒、邮件、无线、IPv6 等特殊映射约定、用户自定义扩展命名限制、时间戳格式、ESM 标签与脚本别名和 turbo 级别关系、地理与资源属性后缀等文档。适用于解析或生成 CEF 事件、查找预定义扩展键含义、确定某键由哪一 ESM 字段支撑，以及排查自定义字段命名与映射问题。使用方式为按问题类型查阅对应数据文件。限制：未提供预定义键不可臆造；具体工具运行方式、安装命令、收费与平台信息暂未提供。
hunt-nestjs
该技能聚焦 NestJS 特有漏洞的排查，涵盖守卫绕过、装饰器缺口、ValidationPipe 配置利用、序列化字段泄露以及多传输微服务鉴权漂移等问题。适用于目标确认使用 NestJS（如响应头出现 x-powered-by: NestJS 或错误信息含 TypeScript 装饰器特征）、同时存在 GraphQL 与 REST、配置了 TCP/Redis/NATS/MQTT/gRPC 等微服务传输，或暴露 Swagger 文档的场景。它按阶段给出可执行的检测思路：先做指纹与 Swagger 探测，再测试各 HTTP 方法与 @Public 类装饰器造成的守卫缺口、Reflector 元数据键不一致导致的校验空档、whitelist/transform/skipMissingProperties 的输入处理问题、类序列化器缺失导致的敏感字段外泄、微服务 @MessagePattern 缺乏守卫，以及 CRUD 自动生成端点的越权风险。使用时需注意 Swagger 可能暴露未受保护端点、公共装饰器命名因项目而异、微服务端口多在内网，以及 @Res({passthrough:true}) 绕过标准响应流程等陷阱。
security
该技能用于指导 AI 智能体在 Vaadin 25 应用中集成 Spring Security 实现安全防护。当用户提出“添加安全”“添加登录”“创建登录页”等需求时启用。内容涵盖 Spring Security 配置（VaadinSecurityConfigurer）、基于 LoginForm 的登录视图、视图访问控制注解（@AnonymousAllowed、@PermitAll、@RolesAllowed、@DenyAll）、AuthenticationContext 用户信息与登出处理，以及 Google、Keycloak、GitHub、Okta 等 OAuth2/OpenID Connect 集成。技能还说明了注解解析规则、角色常量、程序化权限检查、最佳实践与常见反模式，并强调 Vaadin 视图安全应使用注解而非 URL 模式匹配。
inspect-security
inspect-security 是一个源代码安全审计技能，用于排查威胁暴露面、认证缺陷、注入汇聚点、SSRF、并发竞态与安全债。使用时必须指定明确的检查范围。