SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
5,240 个结果
该技能用于按照 ISO/IEC 27001:2022 标准建立信息安全管理体系（ISMS），配置 ISMS 控制措施与风险管理流程。适用于首次建立 ISMS、准备 ISO 27001 认证审核、开展风险评估与风险处置计划、编制适用性声明（SoA）、从 2013 版过渡到 2022 版，以及满足客户或法规对 ISO 27001 认证的要求。技能内容涵盖 PDCA 循环、ISMS 范围定义、风险评估方法、SoA 模板、内部审计计划、管理评审会议和认证检查清单等。
Code Auditor 是一个用于对代码库进行全面审计的技能，覆盖架构与设计、代码质量、安全、性能、测试和可维护性六个维度。当用户提出“审计代码”“分析代码质量”“检查问题”“审查代码库”“查找技术债”“安全审计”“性能审查”等需求时使用。它通过探索代理、Grep、Glob、Read 以及可用的静态分析工具来识别问题，并按严重程度和优先级输出可执行的审计报告，包含文件与行号引用、影响说明、修复建议和预估工作量。支持快速、标准、深度三种彻底程度，也可只聚焦安全、性能、测试或架构等特定领域。
Azure Auth 是一套面向 React 单页应用（SPA）与 Cloudflare Workers 的全栈身份验证方案，基于 Microsoft Entra ID（原 Azure AD）。前端使用 @azure/msal-react 与 @azure/msal-browser（v5.0.2）实现授权码 + PKCE 登录流程，获取 access_token 与 id_token；后端在 Cloudflare Workers 中使用 jose（v6.1.3）库完成 JWT 校验。由于 MSAL.js 依赖浏览器与 Node.js API，无法在 Workers 的 V8 隔离运行时中运行，因此后端改用纯 JavaScript 的 jose 进行令牌验证。方案涵盖 Azure 门户应用注册、MSAL 配置、MsalProvider 初始化、受保护路由、静默/交互式令牌获取、Worker 中间件鉴权、JWKS 缓存与多租户校验，并整理了 AADSTS50058、AADSTS700084、React Router 重定向循环、Safari/Edge Cookie、JWKS 路径等常见错误与修复方式。
Cloudflare Workers Security 是一套面向 Cloudflare Workers 的综合性安全模式技能，用于保护 Worker 与 API。其内容覆盖身份认证（JWT 校验、API Key 校验）、CORS 配置、速率限制、输入验证以及安全响应头设置。该技能以「安全检查清单」和「关键规则」为纲，列出十大常见安全错误（如缺少认证、SQL 注入、XSS、CORS 配置错误、密钥硬编码、缺少速率限制、弱令牌、缺少 HTTPS、不安全响应头、权限过大）及其症状与防范措施。技能提供了多种可复用的实现模式与代码示例，包括基于 crypto.subtle 的 JWT HMAC-SHA256 签名校验与过期检查、API Key 哈希后存储于 KV/D1 的校验方式、使用 Zod 进行输入验证、为响应添加 nosniff / DENY / CSP / HSTS / Referrer-Policy 等安全头，以及基于白名单来源的 CORS 处理。技能还按任务类型组织参考文档加载入口（认证、CORS、输入验证、密钥管理、速率限制、安全响应头），并提供身份认证中间件、CORS 处理器、速率限制器、完整安全 Worker 等模板，以及安全审计脚本。
Vercel 安全与访问控制技能，覆盖身份认证、访问控制、部署保护与威胁缓解。主要能力包括：使用 RBAC 定义项目权限，配置 SAML 或 OIDC 实现 SSO，对敏感访问强制启用 2FA；对预览和生产部署应用部署保护并限制访问范围；使用 Vercel Firewall 管理流量规则，使用 BotID 缓解自动化滥用；通过审计日志满足合规需求，通过活动日志追踪用户操作历史。适用于管理访问控制与角色、保护部署与端点、审计活动并强制 MFA 等场景。该技能为渐进式披露结构，入口摘要约 90-110 token，完整内容约 4000-5200 token。可与 vercel-teams-billing（团队设置与账户策略）、vercel-observability（安全事件的可观测性）等互补技能配合使用，但这些技能为可选，本技能可独立运行。
CTF 二进制漏洞利用（Pwn）技能，用于发现并利用内存破坏漏洞读取 flag。该技能提供一套通用的漏洞利用思维框架，涵盖数据流分析、内存安全假设、控制流劫持三个层面，并给出针对栈溢出、格式化字符串、堆利用、ROP、ret2libc 等常见漏洞类型的系统化分析流程与调查方法。适用于缓冲区溢出、格式化字符串等 CTF pwn 挑战。
Policy as Code 是一套通过代码自动化策略执行的方法与实践集合，核心目标是在合规违规进入生产环境之前就将其拦截。该技能围绕 OPA/Rego、Kyverno、Checkov 以及 CI/CD 集成展开，覆盖基础设施即代码变更的安全合规检查、Kubernetes 工作负载配置拦截、Terraform/CloudFormation/Helm 的流水线护栏，以及用自动化策略检查替代人工审批闸门。资料提供了完整的策略示例：OPA/Rego 中禁止公共 S3 桶、强制数据存储加密、强制标签、限制部署区域等策略；Kyverno 中强制 Pod 标签、禁止特权容器、强制资源限制、禁止 latest 镜像标签、限制镜像仓库、要求 NetworkPolicy 等集群策略；Checkov 中自定义 S3 版本控制与 RDS 备份保留检查。此外还包含 GitHub Actions 流水线集成示例、策略例外管理流程、以及 OPA 策略测试方法。
该技能用于扫描并清理 Git 仓库历史中的敏感数据（密钥、API Key、私有域名与内网 IP、个人身份信息等），随后进行验证并安全强推。它把真实事故中总结的安全流程固化为脚本流程：先扫描，重写前备份，重写后验证，且在未确认仓库可见性和 fork 数量前绝不向公开仓库强推。技能自带四个脚本：scan_repo.py 扫描密钥与私有上下文，rewrite_history.py 用 git-filter-repo 备份并重写历史，verify_cleanup.py 验证敏感内容是否已清除，safe_push.py 验证仓库可见性并安全推送。整体设计保守，任何安全检查失败即停止并要求人工确认。
该技能用于审计 HTTP 安全响应头，包括 CSP、HSTS、X-Frame-Options 以及 Cookie 安全属性，识别缺失或配置错误的浏览器端防护措施。适用于经授权的 Web 应用安全评估、合规检查（如 PCI DSS、SOC 2）、CI/CD 安全门禁以及初步侦察。通过 curl、SecurityHeaders.com、Mozilla Observatory、Burp Suite 和浏览器开发者工具收集并分析响应头，评估传输安全、内容安全策略、点击劫持防护、Cookie 标志、权限策略与信息泄露，并输出分级报告与修复优先级建议。
AI Security Knowledge Base（AI_Security_Top）是一个中文 AI 安全知识库项目，由 GhostWolfLab 维护。该项目以 Markdown 文档为主体，覆盖从机器学习基础算法到前沿 AI 威胁的完整知识体系，包括深度学习架构、监督与无监督学习、强化学习、OWASP ML/LLM Top 10、MCP 安全、AI 技能安全、进攻性 AI（对抗性 ML、深度伪造、语音克隆）以及防御性 AI（异常检测、自动化威胁狩猎）等主题。项目同时提供 Python 代码示例，涉及提示注入检测与净化、训练数据投毒检测、安全 LLM 部署配置、对抗训练和深度伪造检测等实践。该仓库并非代码库，而是文档与知识参考资源，可通过 git clone 获取，文档语言为中文，代码示例为 Python，采用 MIT 许可证。定位为安全研究人员、渗透测试人员与 AI 开发者的参考指南和实用资源。
dfyx Code Security Audit（dfyx代码安全审计技能）是由东方隐侠团队（EastSword）设计的白盒静态代码安全审计技能，面向 AI 智能体运行。它通过深度数据流分析与业务逻辑理解来检测源代码中的安全漏洞，支持 Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust 等多种语言。该技能覆盖注入、认证、授权、反序列化、文件操作、SSRF、加密、配置、业务逻辑、供应链等十个安全维度，并采用汇点驱动、控制驱动、配置驱动三条审计路线。审计遵循五阶段标准化协议：侦察、模式匹配、污点追踪、验证与攻击链、结构化报告。技能内置由 WooYun 漏洞案例（2010-2016）整理而成的真实案例库，并提供 Python 辅助脚本用于代码扫描、模式匹配、数据流分析和密钥检测。使用时无需单独安装，通过 AI 智能体以自然语言触发即可，支持 Quick、Standard、Deep 三种审计模式。
AWS CloudTrail 是 AWS 提供的审计日志服务，用于记录和审计 AWS 账户活动。本技能介绍如何配置组织级跟踪（Organization Trail）、多区域跟踪、日志文件完整性校验、KMS 加密、CloudWatch Logs 集成、事件选择器、指标过滤器与告警、Athena 查询、CloudTrail Lake 事件数据存储以及日志完整性验证，适用于合规审计、安全事件调查与运营故障排查。
config-scan 是一款面向配置文件和基础设施即代码的安全扫描技能，主要用于在开发与运维流程中发现容器、Kubernetes、Terraform 及应用配置中的安全配置错误。它支持扫描环境文件、Dockerfile、docker-compose.yml、Kubernetes 清单、Terraform 文件以及应用配置文件，能够检测诸如明文密钥、以 root 身份运行容器、特权容器、公开 S3 桶、开放安全组、缺失资源限制、CORS 通配符、调试模式开启等常见问题。该技能按严重级别（CRITICAL、HIGH、MEDIUM、LOW）输出问题列表，附带文件位置、问题描述和修复建议，并支持通过 .config-scan-ignore 忽略规则和 .config-scan.yaml 扫描配置进行定制。它适合在代码审查、CI/CD 流水线中作为安全门禁使用，帮助团队提前发现并修复配置层面的安全风险。
ln-625-dependencies-auditor 是一个依赖与复用审计技能（L3 Worker），用于检查过时依赖包、未使用依赖、重复造轮子以及 CVE/CVSS 漏洞扫描。它可作为 ln-760 安全设置流水线（vulnerabilities_only 模式）或 ln-620 代码库审计（full 模式）的专用工作单元，接收包含技术栈、包清单路径、代码库根目录和输出目录的 contextStore，执行依赖检查、分析候选问题、收集发现项、计算合规评分并生成 Markdown 报告。该技能只报告不自动修复，不修改包清单或锁文件。
这是由东方隐侠（EastSword）团队开发、面向 AI 编码代理的专家级代码安全审计技能。它采用白盒静态分析方法，通过标准化的五阶段审计协议（侦察与测绘、并行模式匹配、深度污点追踪与验证、验证与攻击链构建、结构化报告）系统性地发现并验证源代码中的安全漏洞。该技能覆盖 9 种语言（Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust）、14 种框架（如 Spring Boot、Django、Flask、Express、Gin、Laravel 等）以及 10 个安全维度（注入、认证、授权、反序列化、文件操作、SSRF、密码学、配置、业务逻辑、供应链）。它采用汇点驱动、控制驱动、配置驱动的三轨审计模型，结合真实漏洞案例库，支持多阶段污点追踪（如请求→会话→数据库→模板的复杂链路）和攻击链构建（如权限提升链、数据外泄链），并输出包含漏洞描述、利用方式、影响、POC、修复建议和修复前后代码对比的结构化报告。
Pentest-Skills Framework 是一套面向 AI CLI 工具（如 Claude Code、Gemini CLI、Cursor）的模块化渗透测试框架，通过自然语言命令驱动专业安全测试。每个技能包含知识文档、自动化脚本、参考文档和资源文件，覆盖信息收集（端口扫描、子域枚举、目录扫描、指纹识别）与漏洞利用（SQL 注入、XSS、LFI、文件下载漏洞）等原子级能力。用户可用日常语言描述测试目标，由 AI 选择工具并执行，并对结果进行自动分析与报告生成。安装需先准备 nmap、python3、git 等基础工具，以及 subfinder、dnsx、httpx、nuclei、ffuf 和 sqlmap、xsstrike、dalfox 等 Go/Python 工具链，再将技能目录复制到 AI 代理的技能目录中并重启代理加载。框架明确要求仅在获得书面授权的前提下用于授权渗透测试、CTF 竞赛或教育用途。
deepsec 是 Vercel Labs 开源的 AI 网络安全漏洞扫描器，可对整个代码库做安全审查，而不只针对拉取请求。它先以正则扫描标记候选文件，再由 AI 代理深入调查并记录严重级别，结果可复核、分类和导出，全部产物放在 .deepsec/ 工作区。
ZenStack V3 访问控制技能：在 ZModel 中通过 @@allow/@@deny 声明访问策略，由 ORM 层强制执行。涵盖 auth()、字段级规则、post-update 规则与策略插件运行时配置。
Finding Triage 是一个安全发现分诊技能，用于对来自扫描器、审计、公告或报告的单个安全发现进行处置，给出可辩护的结论与缓解计划。它通过六步工作流：用自己的话复述发现、判断是否真实、结合环境评估严重性、选择处置方式（修复、延期、接受风险、误报）、生成可直接建单的书面记录、最后校验记录质量。输出包含严重性调整理由、修复与验证方法、补偿控制、重新评估触发条件及审批记录，适用于需要留下可审计痕迹的安全团队。
该技能用于在授权渗透测试中手动识别应用程序业务逻辑缺陷，包括价格篡改、多步骤工作流绕过和权限提升。它通过拦截并修改请求，测试电商定价、购物车与支付流程、注册与审批等多步骤流程的绕过机会，以及优惠券、推荐、奖励等限流功能的滥用。适用于自动化扫描器难以发现技术漏洞时的业务逻辑安全评估，覆盖金融、投票等具有关键业务规则的应用。
Pentest Expert 是一个面向渗透测试方法论的技能，覆盖 OWASP、PTES 等安全评估流程，包括侦察、扫描、漏洞利用与报告撰写。它提供从被动/主动信息收集、Web 枚举、漏洞扫描到严重性评级与报告结构的参考命令与模板，适合用于安全评估场景。
磁盘取证技能：用于分析磁盘镜像、文件系统与内存捕获，恢复数字证据、重建时间线并识别系统痕迹，适用于取证调查与CTF挑战。
面向 AWS IAM、GitHub、Okta 等身份源的周期性访问审查与认证工具技能，提供访问数据提取、账号跨平台关联、未使用权限检测、认证工作流与合规报告生成。适用于 SOC 2、HIPAA、PCI DSS、ISO 27001 等合规场景下的季度或年度访问审查、过期账号清理、权限过高识别以及审计证据归档。
Cloud Audit 是一个面向 AWS、GCP、Azure 的云基础设施安全审计技能，用于检查云环境中的错误配置、权限过度授予、公开暴露和合规缺口。它围绕身份与访问管理、网络安全、存储、计算、日志监控和密钥管理六大类检查项组织审计流程，覆盖根账户 MFA、长期访问密钥、通配符权限、0.0.0.0/0 入站规则、公开存储桶、未加密磁盘、IMDSv2、日志与威胁检测服务等常见风险点。该技能同时支持通过 aws、gcloud、az 命令行工具核查线上环境，也支持对 Terraform、CloudFormation、Pulumi 等 IaC 文件进行审查。输出采用结构化审计报告格式，包含发现摘要、逐项问题、风险说明、证据与修复建议，并按严重程度给出优先级行动计划。