model-inversion
面向 AI 系统的隐私攻击测试技能，通过模型反演、成员推断、训练数据抽取与属性推断等方式，检验模型是否泄露训练数据或敏感信息，用于红队评估与合规审计。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-24 00:15
安全与审计
7,387 个结果
red-team-reporting
用于 AI 红队与安全评估的专业报告生成技能，面向管理层、监管与内部团队输出执行摘要、详细发现、合规映射与修复路线图，并跟踪修复进度。
security-audit
面向代码库的安全审计技能，用于定位可真实利用的漏洞，而非理论或风格建议。可按分支差异、PR、文件目录或功能描述指定审计目标，并优先检查访问控制、注入、认证与敏感数据等问题。
review-security-report
用于在接收、拒绝、修补、评分或发布前审查 FastMCP 漏洞报告的安全审查技能，帮助区分 FastMCP 漏洞、上游漏洞、不安全部署与预期行为，并规范证据留存、复现与分类流程。
astrofy-security
用于审查 Astro 项目安全边界的技能：检查外部输入、机密信息以及 HTML 或 MDX 的执行风险，在 Astro 7 项目中建立输入、转换与渲染目标的对应关系，并施加范围明确的修复、记录审查覆盖范围。适用于需要排查 set:html、MDX 来源、客户端/服务端边界、公开配置中的凭据以及缓存后数据泄漏等问题的 Astro 项目。
evidence-code-audit
Evidence Code Audit 是一个只读的代码审计技能，用于在仓库或分支中查找可操作的缺陷，并为每条结论提供可追溯的证据。它通过追踪失败路径、区分严重程度与置信度、并给出明确的覆盖矩阵来组织审计。适用于对代码库、分支变更或特定子系统进行风险审查，包括数据完整性、并发、安全边界、稳定性与测试真实性等维度。该技能要求本地仓库访问权限，增量分支审计需要 Git；不需要安装包、API 密钥、网络访问或配套技能。审计过程只检查本地文件，不修改文件、不保存报告、不安装依赖、不执行项目代码或测试、不启动服务、不查询线上系统、不调用远程 API。
bitdefender-security-awareness
这是一个安全技能条目，用于提升对恶意软件分发手法与安全软件破解风险的认知。它通过分析一个伪装成“Bitdefender Total Security 破解版”的仓库案例，揭示威胁行为者滥用 GitHub 等平台分发恶意软件的常见套路，包括虚假破解声明、异常星标增长、无真实代码、矛盾标签和堆砌关键词的搜索引擎优化描述等。条目还给出仓库恶意特征的技术识别指标、内容分析关键词模式、安全替代获取渠道、开发者与用户的防护策略、向 GitHub 举报恶意仓库的方式，以及 VirusTotal、Hybrid Analysis、Any.run 等合法安全研究工具。该技能不涉及真实软件安装或破解，重点在于安全教育与风险识别，帮助开发者与安全从业者避免恶意仓库并推动更安全的开源生态。
agt-security
agt-security 是 Agentic Group Theory (AGT) 下的安全控制技能，提供沙箱校验、进程卫生检查、HMAC 密钥轮换与预算验证，用于管理本地执行环境的安全边界。
red-team-bundler
red-team-bundler 是一个交互式技能，用于准备定向的红队安全评审包。它通过简短的发现在访谈确定威胁模型，并生成严格的安全评审指令与代码打包文件。
macos-signing-entitlements
用于排查 macOS 代码签名、entitlements 与 Gatekeeper 问题的技能，适用于诊断签名、沙盒、强化运行时或信任校验失败。
java-deserialization-audit
用于审计 Java 项目反序列化漏洞的技能，覆盖 ObjectInputStream/readObject、XMLDecoder、Fastjson、XStream、JDBC、Shiro RememberMe、Log4j/JNDI 与 gadget 链，输出入口可达性、可控性、sink、组件条件、可利用性、Burp 请求与 payload，并区分完整链条与仅组件风险。
security-best-practices-expert
应用安全专家技能，覆盖 OWASP Top 10、安全编码与漏洞预防，提供从安全 SDLC、应用加固到云基础设施、检测响应与合规治理的模块化指导。
Active Directory Attacks
该技能用于微软 Active Directory 环境攻击，覆盖侦察、凭据收集、Kerberos 攻击、横向移动、权限提升与域控接管，面向红队和渗透测试。需要 Kali 或 Windows 攻击平台及域凭据。
API Fuzzing for Bug Bounty
面向漏洞赏金与渗透测试的 API 模糊测试技能，覆盖 REST、SOAP、GraphQL 的端点发现、认证测试、IDOR、注入、GraphQL 滥用等测试方法，需配合 Burp Suite、SecLists 等工具使用。
Broken Authentication Testing
用于评估 Web 应用认证与会话管理安全性的测试技能，覆盖密码策略、凭据枚举、暴力破解、凭据填充、会话固定与超时、MFA 及密码重置等测试，需事先获得书面授权。
Cloud Penetration Testing
该技能用于在获得书面授权的前提下，对 Azure、AWS、GCP 云环境开展渗透测试与安全评估，覆盖信息收集、认证、资源枚举、权限提升、数据提取与持久化，并输出评估报告、资源清单、凭据发现与加固建议。
Cross-Site Scripting and HTML Injection Testing
面向授权安全测试的客户端注入检测技能，用于系统排查 Web 应用中的存储型、反射型与 DOM 型 XSS 及 HTML 注入缺陷，验证输入过滤与输出编码，并演示会话劫持、凭据窃取等影响。
HTML Injection Testing
HTML注入测试技能，用于识别和验证Web应用中的HTML注入漏洞，演示内容篡改、钓鱼表单与网页涂改等影响，并给出输入验证与输出编码等修复建议。注意与XSS区分，且需在授权测试环境中使用。
IDOR Vulnerability Testing
该技能提供系统化测试 Web 应用中不安全直接对象引用（IDOR）漏洞的方法，覆盖数据库对象与静态文件引用、参数篡改与枚举、Burp Suite 利用及修复建议。使用需目标授权、两个测试账号和代理工具。
Network 101
Network 101 是一个面向渗透测试实验环境的安全技能，用于配置和测试 HTTP、HTTPS、SNMP、SMB 等常见网络服务，辅助进行服务枚举、日志分析与安全测试练习。
Privilege Escalation Methods
一个面向渗透测试与红队后渗透阶段的权限提升技能，整理 Linux 与 Windows 本地提权、凭据窃取及 Active Directory 攻击的常用技术与工具用法，需在获得初始低权限 shell 后使用，并强调授权与合规限制。
Security Scanning Tools
该技能用于网络安全扫描，涵盖网络发现、漏洞评估、Web应用测试、无线安全与合规核查，涉及 Nmap、Masscan、Nessus、OpenVAS、Burp Suite、OWASP ZAP、Nikto、Aircrack-ng、ClamAV、Prowler、Lynis 等工具的选型与命令用法，仅限获得授权的目标。
SSH Penetration Testing
用于 SSH 服务安全评估的技能，覆盖服务发现、枚举、配置审计、凭据攻击、漏洞利用、隧道与后渗透等测试环节，涉及 Nmap、Hydra、Medusa、ssh-audit、Metasploit、Paramiko 等工具。
Top 100 Web Vulnerabilities Reference
该技能提供按类别整理的前100个Web应用漏洞参考，涵盖定义、根因、影响与缓解措施，用于系统化识别漏洞、评估影响并获取修复指引，适合安全测试与加固参考。