Acceptable Use
Acceptable Use 是一个用于落实信息技术可接受使用政策的行为规范与专业标准技能，围绕系统访问与认证、数据与隐私（GDPR）、软件使用、网络使用、移动与远程办公、沟通与社交媒体等方面，明确 MUST 要求与 MUST NOT 禁止事项，核心原则是“清晰的期望造就安全的行为”。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-22 00:14
安全与审计
7,300 个结果
create-auth
一个用于在项目中脚手架生成 signin/signup 认证端点的技能：先探测技术栈并交互式询问框架、数据库、会话策略与功能选项，再手写生成核心认证与所选功能的 schema、端点，不依赖第三方认证库。
security-best-practice
该技能用于审计并加固认证代码，按优先级检查凭证存储、错误处理、会话安全、输入校验、OAuth/OIDC、MFA 与通行密钥、令牌生命周期、限流、CSRF 与 HTTP 安全头，并直接应用修复。
active-directory-attack
这是一个面向 Windows Active Directory 域环境的攻击技术技能包，来源为 hypnguyen1209/offensive-claude 项目。它覆盖在获得域内立足点（凭据、哈希或未授权网络位置）后使用的多种攻击手法，包括 Kerberos 滥用（Kerberoasting、AS-REP roasting、约束/非约束/RBCD 委派、票据伪造）、强制认证与 NTLM/Kerberos 中继链（PetitPotam、DFSCoerce、PrinterBug、WebDAV，含 CVE-2025-33073 与 CVE-2026-20929）、ADCS 证书模板滥用（ESC1-ESC16、EKUwu CVE-2024-49019）、dMSA BadSuccessor（CVE-2025-53779）提权，以及 BloodHound CE 攻击路径发现、DCSync 与域持久化。技能以技术映射表串联 ATT&CK 编号、CWE 与参考文档，并提供 ad_recon.py、kerberoast_audit.py、rbcd_takeover.py、coerce_relay_chain.sh、adcs_esc_finder.py、Get-BadSuccessorOUPermissions.ps1 等脚本，以及快速上手命令与 OPSEC/检测要点。
ai-security
面向 AI/ML 系统的红队与安全测试技能，覆盖提示注入与越狱、RAG/向量投毒、智能体与 MCP 攻击、模型供应链扫描、模型窃取与成员推断，并映射 OWASP LLM Top-10 与 MITRE ATLAS。
cloud-security
面向 AWS、Azure/Entra ID 与 GCP 云环境渗透测试与红队评估的技能包，覆盖 IAM 提权、IMDS/元数据 SSRF、设备码钓鱼、K8s 逃逸与 CI/CD、IaC 审计，提供技术映射表、参考文档与配套脚本。
initial-access
面向红队初始访问阶段的技能资料，涵盖钓鱼投递、HTML走私、ISO/IMG绕过MOTW、DLL侧加载、凭据填充与密码喷洒、暴露服务利用、供应链、ClickFix、SEO投毒、恶意广告、Teams/Slack投递、邮件网关与端点防护绕过、物理与WiFi接入等攻击向量及OPSEC要点。
phoenix-liveview-auth
用于 Phoenix LiveView 认证开发的技能，要求在编写任何 on_mount 钩子或 LiveView 认证代码前调用，规范会话处理、路由分组与模板访问方式，并给出测试与常见陷阱说明。
guidewire-security-basics
面向 Guidewire InsuranceSuite 的安全实践技能，涵盖 OAuth2 认证、JWT 令牌管理、API 角色配置与安全的 Gosu 编码，帮助在项目中落实数据保护与安全检查清单。
jfrog-package-curation
JFrog 包审查（Package Curation）技能：用于在下载 npm、Maven、PyPI、Go 等包前，通过 OneModel GraphQL 与 Xray 审查 API 判断包是否安全、被允许或已被策略拦截；也可对已出现的包操作失败（如 ETARGET、403、被审查策略阻止、版本缺失）进行排查。
llamaguard
LlamaGuard 是 Meta 推出的内容安全分类模型（7B v1、8B v2 与 v3），用于判断 LLM 的提示词与回复是安全还是不安全。它覆盖暴力与仇恨、色情内容、枪支与非法武器、受管制物质、自杀与自残、犯罪策划等六类安全类别，输出 safe 或 unsafe 及对应类别编号。模型基于 HuggingFace Transformers 加载，可配合 vLLM 加速推理、FastAPI 封装为审核接口，或集成到 NVIDIA NeMo Guardrails 中，适用于在 LLM 应用前后进行输入过滤与输出过滤。
nemo-guardrails
NeMo Guardrails 是 NVIDIA 推出的开源工具，用于在运行时为 LLM 应用添加可编程的安全护栏。它通过 Colang 2.0 流程定义规则，支持越狱与提示注入检测、输入输出自检、事实核查、幻觉检测、PII 过滤和毒性检测等机制。安装方式为 pip install nemoguardrails，可将现有 LLM 包装为带护栏的 LLMRails 实例。适用于需要运行时安全检查、可编程安全规则或多重安全机制的生产级 LLM 应用，支持低延迟过滤。
prompt-guard
Prompt Guard 是 Meta 推出的一个 86M 参数分类器，用于检测 LLM 应用中的提示注入（prompt injection）与越狱（jailbreak）尝试。它从 HuggingFace 加载模型，将文本分类为 BENIGN（正常）、INJECTION（数据中嵌入指令）或 JAILBREAK（直接覆盖指令）三类标签。该技能提供基于 transformers 与 torch 的安装与调用方式，可用于过滤用户输入、校验第三方数据（API 响应、网页抓取、RAG 文档）以及批量处理 RAG 检索文档。模型支持 8 种语言，可 CPU 部署，官方给出分布内 TPR 99.7%、FPR 0.6% 等性能数据，并附有阈值建议与硬件要求。
socket-sca
Socket SCA 是一个面向 npm 与 pip 项目的软件成分分析（SCA）技能，借助 Socket.dev 的 socket CLI 识别安装脚本滥用、仿冒包、混淆代码、恶意包等供应链风险，并将发现映射到 CWE 与 OWASP Top 10:2021。CLI 不可用时提供十项人工检查作为有限替代。
security-scanner
security-scanner 是一个用于自动化扫描代码库安全问题的技能，可检测硬编码密钥、存在漏洞的依赖、不安全代码模式、认证授权缺陷及配置风险，适用于提交前检查、CI/CD 安全验证和静态安全分析。
gha-security-review
用于审计 GitHub Actions 工作流（.github/workflows/）安全性的技能，检查权限、表达式注入、未固定版本的 action、密钥泄露、workflow_run 跨工作流攻击、制品与缓存投毒等问题，输出带文件行号、攻击者输入与利用原语的发现。
security-ownership-map
基于 git 历史把人员与文件映射成拓扑，识别敏感代码的孤儿文件、隐藏负责人、巴士因子热点与维护者集中度，用于重构前、事故后、招聘与轮值设计等安全治理场景。
security-threat-model
security-threat-model 是一个在写代码前做威胁建模的技能：围绕信任边界、资产、攻击者画像与 STRIDE 滥用路径，输出带 file:line 证据的 Markdown 威胁模型，用于跨边界功能设计、第三方集成、认证重构与爆炸半径扩大等场景。
stack-security-coder
stack-security-coder 是一个面向前端、后端与移动端代码的栈层安全审查技能，按层执行检查点，识别 AI 生成代码中偏离安全默认值的隐患，如 XSS、CSP、SQL 注入、SSRF、WebView 桥接与证书校验等。
agency-security-engineer
面向应用与平台安全的实用技能，用于威胁建模、认证与授权审查、密钥处理、加固、CI/CD 安全门禁以及云与 Kubernetes 安全。强调把安全嵌入设计与交付，按可利用性与业务影响排序风险，并给出可落地的修复路径。
llm-security-audit
面向 LLM 应用的综合安全审计框架，覆盖 OWASP LLM Top 10、威胁建模、渗透测试及 NIST 相关合规，结合系统化检查与红队测试，帮助发现集成点与模型行为假设中的漏洞。
vibe-security-skill
Vibe Security Skill 是一个面向 Web 应用、API 与多租户 SaaS 的安全设计与审查技能，由 Peter Bamuhigire 共享。它要求在编码前或发布前产出四类契约工件：威胁模型、滥用案例清单、认证/授权矩阵、密钥处理计划，供下游的 API 设计、部署发布、可观测性、AI 安全等技能消费。核心用途包括：为处理认证用户、个人数据、资金或特权操作的新功能做威胁建模；在发布前审查 Web 应用、REST 或 GraphQL API、Webhook 处理器、多租户 SaaS 的安全缺陷；审计 AI 生成代码的典型盲点（IDOR、明文密钥、缺少 Webhook 签名、无限流）；多租户隔离审查；Webhook、支付与第三方集成设计；以及安全事件复盘。技能提供决策表（何时将威胁评为高风险、认证方式选择、租户隔离执行层、密钥轮换周期、各端点类型的限流形态），并列出八类常见反模式及其修复代码。该技能基于 OWASP Top 10 2025 与 97 条应用安全基线原则。
audit-dependency-versions
审计项目依赖的版本陈旧度、已知安全漏洞与兼容性问题，覆盖锁文件分析、升级路径规划，并生成按优先级排序的升级报告。
awareness
Awareness 是一套面向 AI 推理过程的“态势感知”技能，用改编的 Cooper 颜色代码与 OODA 循环，实时检测幻觉风险、范围蔓延、上下文退化和置信度与准确性不匹配，帮助在长任务中保持推理质量。