SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
5,148 个结果
Security Best Practices 是一个面向编码智能体的技能，用于按语言与框架进行安全最佳实践的审查并给出改进建议。它会先识别当前项目中使用的所有语言与框架（通常包括前端和后端），再从其 references 目录加载对应文档（文件命名格式为 <language>-<framework>-<stack>-security.md，另有与框架无关的 <language>-general-<stack>-security.md），据此以三种模式工作：一是默认安全地编写新代码；二是在日常编码中被动检测重大漏洞并提示用户；三是应要求生成安全报告并建议修复。报告中包含简要执行摘要、按严重程度分节的发现、数值编号、关键发现的单句影响说明以及代码行号。该技能还提供适用于多数语言的通用建议，如公开资源 ID 避免使用自增 ID 而改用 UUID4 或随机十六进制字符串，并特别提醒不要把缺少 TLS 当作安全问题、谨慎使用 secure cookie 与 HSTS。
「Testing for Sensitive Data Exposure」是一个用于识别敏感数据暴露漏洞的安全测试技能，来源于 mukul975/anthropic-cybersecurity-skills。它帮助渗透测试人员在获得授权的前提下，检测客户端代码中的密钥泄露、API 响应中的过度数据暴露（如密码哈希、PII、卡号）、不安全的存储与缓存、未加密的数据传输，以及 Git 仓库和源码中意外提交的机密信息。技能提供了基于 curl、grep、trufflehog、gitleaks、testssl.sh、git-dumper 等工具的具体工作流与命令，涵盖六个步骤：扫描客户端代码中的密钥、分析 API 数据过度暴露、测试传输安全、检查浏览器存储、扫描 Git 仓库与源码密钥、测试数据脱敏与遮蔽。该技能适用于 GDPR、PCI DSS、HIPAA 等数据保护合规评估，以及处理 PII、财务或健康记录的 API 安全评估。使用前需具备书面渗透测试授权。
Prompt Guard 是一款面向 AI 智能体的运行时安全防护工具，当前版本 v3.5.0。它内置 600+ 检测模式，可 100% 离线运行，并可选接入 API 获取早期访问与高级模式。其防护范围覆盖提示注入、供应链技能注入、记忆投毒、动作门绕过、Unicode 隐写、级联放大等攻击面，支持多语言检测、分级加载、缓存与输出 DLP 扫描，提供 Python 库与 CLI 两种使用方式。
该技能用于对运行中的应用做动态应用安全测试（DAST），借助 OWASP ZAP、Burp Suite、Nikto 等工具，通过自动化或手动方式发现运行时安全漏洞，可覆盖认证流程与 API 安全测试，并集成到 CI/CD 流水线中。
面向巴西《通用数据保护法》（LGPD，第13.709/2018号法律）的合规顾问技能，帮助法律、合规、隐私与工程团队梳理法律依据、数据主体权利、同意、跨境传输、事件响应与罚则，并按任务输出表格、流程或模板，引用相关条款。
这是一个用于 Dune 应用的安全修复技能，在修复 Dune 应用的安全问题、或发布任何处理凭据、用户输入或外部数据的功能之前必须使用。它按步骤系统性地排查并修复安全问题：梳理攻击面、将 CDF 访问迁移到 Cognite SDK、清理硬编码凭据与密钥、修复危险的 DOM API、修补认证与授权缺口、补充输入校验、加固 Vite/服务器配置、处理依赖漏洞，最后报告无法自动修复的遗留问题。
该技能用于在系统设计阶段开展威胁建模，采用 STRIDE 方法论识别威胁、评估风险并设计安全控制措施。适用于设计新系统、服务或功能，对现有系统进行重大架构变更，引入第三方集成或依赖，准备安全审计或合规审查，响应安全事件以改进防御，以及审查影响信任边界的基础设施变更。技能提供 STRIDE 工作表模板、数据流图（DFD）文本表示、OWASP Threat Dragon 模型 JSON 示例、可复用威胁库、风险评分矩阵与风险处置决策，并给出与 CI/CD 集成的示例工作流。
Prompt Injection 是一个面向 AI/LLM 应用的安全审计技能，用于检查使用 AI 功能、LLM 集成或 AI 智能体的应用是否存在提示注入、权限提升和授权绕过等漏洞。该技能覆盖直接注入、间接注入和跨权限注入三类攻击，并指导审计提示词构造、输出处理、工具/函数调用、AI 智能体、提示词泄露以及 AI 权限边界等环节。它提供从攻击面梳理、代码审计到防御层评估的完整方法论，并输出带严重级别、攻击场景、漏洞代码和修复建议的审计报告。适用于代码安全审计、AI 功能上线前评估和红队授权测试等场景。
ln-621-security-auditor 是一个用于代码库安全审计的专项技能（L3 Worker），属于 Claude Code Skills 集合。它针对五类安全检查展开扫描：硬编码密钥、SQL 注入、XSS 跨站脚本、不安全依赖以及缺失的输入校验。该技能采用两层检测方法：第一层通过 Glob/Grep 模式扫描定位候选问题，第二层读取上下文代码进行分类，以降低误报（例如区分测试夹具与生产代码、框架自动转义与不安全上下文）。审计结果会记录严重级别（CRITICAL/HIGH/MEDIUM）、精确位置（file:line）、修复工作量（S/M/L）与修复建议，并计算安全类别的合规分数（X/10）。报告以 Markdown 形式写入 {output_dir}/ln-621--global.md，同时按契约返回 JSON 摘要。该技能仅报告问题，不自动修复，修复任务由协调者生成给用户。依赖 MCP 工具时优先使用 hex-graph 与 hex-line，不可用时回退到内置的 Read/Grep/Glob/Bash 并在报告中说明。
PenTest Toolkit Pro 是一个单文件 HTML 渗透测试工具包，完全在浏览器中离线运行，无需依赖或构建过程。它面向安全专业人员，集成渗透测试所需的多个环节：交战规则（RoE）管理与法律框架文档、合同模板、任务时间线跟踪、OWASP WSTG（Web 安全测试指南）交互式检查清单、带 CVSS 评分与分类的漏洞跟踪、修复行动计划、可打印的报告生成，以及基础设施和 Web 渗透测试速查表。所有数据保存在浏览器 localStorage 中，保证隐私与离线可用性。可通过 git clone 仓库后直接用浏览器打开 HTML 文件使用，也可仅下载单个 HTML 文件运行。工具支持通过修改 HTML 结构扩展自定义模块、扩展 OWASP 检查项和漏洞模板，并支持将全部数据导出为 JSON 备份或导入恢复。
该技能用于自动化安全工作流与修复流程，帮助构建安全流水线、自动执行合规检查，并实现 SOAR（安全编排、自动化与响应）能力。资料展示了基于 GitHub Actions 的安全流水线示例，集成密钥扫描（TruffleHog）、SAST（Semgrep）、依赖扫描（npm audit）、容器扫描（Trivy）与合规检查（Checkov）。还包含自动化修复脚本（如关闭 S3 公开访问）、SOAR 剧本示例（可疑登录响应：情报富化、封禁 IP、禁用用户、通知与建单）以及合规即代码的自定义检查示例，并给出最佳实践与相关技能。
dfyx-code-security-review 是一个面向 AI 编程智能体的专家级代码安全审计技能，属于 Security Skills 集合。它通过五阶段标准化审计协议与双轨分析模型（Sink 驱动、Control 驱动、Config 驱动），对源代码进行白盒静态分析，系统性地发现并验证安全漏洞。该技能覆盖 9 种语言（Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust）、10 个安全维度（注入、认证、授权、反序列化、文件操作、SSRF、密码学、配置、业务逻辑、供应链）以及 14 个框架（Spring Boot、Django、Flask、FastAPI、Express、Koa、Gin、Laravel、Rails、ASP.NET Core、Rust Web、NestJS/Fastify、MyBatis、ProcessWire）。它提供快速、标准、深度三种扫描模式，支持自然语言触发审计、独立命令行脚本与 Python API 调用，并可生成结构化报告，包含漏洞详情、数据流图、利用 POC 与修复建议。
AI Agent Security 是一套面向智能体（Agentic AI）系统的纵深防御安全技能，用于抵御提示注入、工具滥用、数据外泄与权限提升等风险。它提供输入校验、内容分类中间件、工具执行沙箱、工具白名单、基于 OPA 的权限边界、短时效凭证以及输出过滤等分层控制手段。适用于构建或加固会调用工具、API、Shell 命令的 AI 智能体，尤其是能访问生产数据库、云账号或内部服务的部署场景，以及多租户平台、自主编码智能体、SRE 机器人和红队演练。技能包含 Python 3.10+ 的护栏代码示例、Docker/Podman 沙箱配置、gVisor 隔离运行时、OpenTelemetry 审计日志等实践内容。
Tauri v2 权限配置技能，讲解如何通过权限、作用域与能力（capability）控制前端对后端命令和系统资源的访问，包含允许/拒绝列表、插件权限、自定义权限与常见排错方法。
面向安全与合规团队的 ISO 27001 专家助手技能，覆盖 2013 与 2022 版本，可用于差距分析、策略文档编写、附录 A 控制措施指导与风险管理。默认按 2022 版输出，并可按任务类型匹配表格或结构化文档格式。
NeMo Guardrails 是 NVIDIA 推出的面向 LLM 应用的运行时安全框架，可为大模型应用添加可编程的安全护栏。它支持越狱检测、输入/输出校验、事实核查、幻觉检测、PII 脱敏、毒性检测等机制，通过 Colang DSL 定义安全流程，在请求到达模型前后进行拦截与过滤。安装方式为 pip install nemoguardrails，可集成 LlamaGuard、Presidio、ActiveFence 等组件，适用于生产环境的 LLM 应用安全防护。
Eve Auth and Secrets 是 Eve 平台的身份认证与密钥管理工作流技能包，用于登录 Eve、管理项目密钥，并为 Eve 部署的应用添加 SSO 登录。它涵盖基于挑战-应答的认证流程（默认 github_ssh，也支持 nostr）、多种令牌类型（用户令牌、作业令牌、铸造令牌）、身份提供商、组织邀请、令牌铸造、自助访问申请、OAuth 令牌同步、访问组与作用域授权、组感知 RLS、策略即代码（v2）、密钥轮换以及应用 SSO 集成等能力。
Auth Security Reviewer 是一个面向身份认证与授权实现的安全审查技能，用于检查会话管理、CSRF、Cookie 安全以及认证流程中的漏洞，并给出带严重级别的审查发现。它覆盖会话安全配置、JWT 安全、CSRF 防护、密码安全、多因素认证、授权漏洞、会话固定防护、认证端点限流与安全测试等主题，以正反示例代码说明不安全与安全做法。
AI Red Teaming 是一个用于对 AI 应用进行结构化红队演练的技能，覆盖越狱抵抗、数据外泄风险、有害输出控制以及智能体工具滥用韧性等测试方向。它提供对抗性提示词库、自动化测试脚本、风险评分标准、报告模板与 CI/CD 集成示例，帮助团队在攻击者之前发现可被利用的失效模式。适用于发布新 LLM 功能、评估第三方模型、定期安全评估、响应越狱或提示注入事件以及准备合规审计等场景。
零信任网络架构技能，用于以“永不信任、始终验证”模型替代传统边界式 VPN 访问，涵盖基于身份访问、微隔离与持续验证，适用于多云/混合云、BeyondCorp 式内部应用访问及 Kubernetes 工作负载安全。
该技能用于分析 Microsoft Office 文档（Word、Excel、PowerPoint）中嵌入的恶意 VBA 宏，识别下载器、载荷执行、持久化等攻击行为；同时覆盖对 XLM（Excel 4.0）宏、DDE、远程模板注入等非宏攻击向量的检测。技能提供基于 oletools、oledump.py、XLMDeobfuscator 等工具的完整工作流，包括文档初步分诊、VBA 代码提取与反混淆、XLM 宏分析、非宏攻击向量检查，以及最终生成包含 IOC、去混淆执行链和 YARA 规则的分析报告。适用于邮件安全告警后对可疑 Office 文档的调查、钓鱼攻击分析等场景，需在未安装 Microsoft Office 的隔离虚拟机中运行。
dfyx-code-security-auditor 是一个深度代码安全审计技能，基于白盒静态分析与业务逻辑理解，采用标准化的五阶段审计协议，覆盖 10 个安全维度的系统化漏洞发现与验证。它支持 Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust 共 9 种语言，通过三种审计轨道（Sink 驱动、Control 驱动、Config 驱动）对注入、认证、授权、反序列化、文件操作、SSRF、密码学、配置、业务逻辑、供应链等维度进行检查。该技能设计用于支持自定义技能的 AI 编程代理环境，提供安装命令、配置文件和辅助脚本，并内置基于 WooYun 漏洞案例的真实案例库。
Flounder 是一个自主白帽安全审计工具，通过技能（Skill）方式驱动对目标进行安全审计、漏洞赏金审查和漏洞调查。该技能提供了一套操作手册，指导代理完成目标准备、源码审计、攻击路径构建、本地验证测试、真实发现确认以及报告打包。框架提供守护进程、沙箱、命令策略、运行追踪、实时活动监控和执行门控。用户可通过命令行、仪表盘或 REST API 控制审计流程，支持盲测能力审计、事件调查、公开源码审计、常规漏洞赏金和赏金竞赛等模式。使用前需确认授权与范围，确保仅针对公开源码或已授权目标运行。
依据 NIST SP 800-61 方法指导安全事件的快速分类与初步响应，适用于事件响应、安全告警排查等场景，包含分级、遏制、证据保全、IOC 提取与报告输出流程。