SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-16 00:02
5,266 个结果
Cloud Audit 是一个面向 AWS、GCP、Azure 的云基础设施安全审计技能，用于检查云环境中的错误配置、权限过度授予、公开暴露和合规缺口。它围绕身份与访问管理、网络安全、存储、计算、日志监控和密钥管理六大类检查项组织审计流程，覆盖根账户 MFA、长期访问密钥、通配符权限、0.0.0.0/0 入站规则、公开存储桶、未加密磁盘、IMDSv2、日志与威胁检测服务等常见风险点。该技能同时支持通过 aws、gcloud、az 命令行工具核查线上环境，也支持对 Terraform、CloudFormation、Pulumi 等 IaC 文件进行审查。输出采用结构化审计报告格式，包含发现摘要、逐项问题、风险说明、证据与修复建议，并按严重程度给出优先级行动计划。
vuln-research 是一个面向 CVE 与漏洞披露的端到端研究技能，用于在依赖审计发现漏洞后，进一步判断漏洞是否真正影响自身环境。它引导使用者从权威来源（NVD、厂商公告、GitHub Security Advisory、CISA KEV、EPSS）收集信息，确认受影响版本范围，映射到本地依赖与锁文件，进行可达性分析，检查公开 PoC 与在野利用情况，最后在补丁、缓解与接受风险之间做出决策并记录闭环。该技能强调用证据支撑结论，避免仅凭 CVSS 或依赖存在就下判断，并给出结构化的评估输出格式与常见研究陷阱。
crypto-audit 是面向应用密码学实现审计的安全技能，检查算法与模式选择、密钥派生参数、IV/nonce 处理、认证加密、签名验证、随机性与 TLS 配置等，输出带严重级别与修复建议的审计报告，用于发现“原语正确但用法错误”的隐患。
隐私工程技能，用于在产品与基础设施中实现和审计隐私控制，覆盖 GDPR、CCPA/CPRA、LGPD、PIPEDA 等法规。内容涵盖数据分类、数据最小化、合法依据、同意管理、数据主体权利（DSAR）流程、供应商/子处理者管理、数据泄露通知、DPIA 等工程实践，并提供审计报告输出格式。该技能产出技术实现与审计发现，最终合规判定需法律/隐私顾问确认。
security-investigator-automation 是一个自动化安全调查框架，结合 GitHub Copilot Agent Skills、VS Code 与 Model Context Protocol（MCP）服务器，支持通过自然语言在 Microsoft Sentinel、Defender XDR、Graph API 和威胁情报平台上开展安全调查。项目包含 25 个专用调查工作流，内置 KQL 查询、威胁情报富化与自动化 HTML 报告生成能力。
供应商风险管理技能，用于建立第三方安全评估与供应商清单管理流程。覆盖供应商风险分级、安全问卷、风险评分、合同跟踪、SLA 监控与持续监督，帮助满足 SOC 2、ISO 27001 及监管框架的合规要求。适用于新供应商准入、年度风险评估、合同安全条款谈判、SLA 与安全态势监控，以及为审计准备供应商管理证据。
该技能提供在通过 uv 与 pip 安装 PyPI 包时实施安全最佳实践的完整指南，涵盖供应链攻击缓解、依赖校验与安全开发实践，例如仅安装二进制包、依赖冷却期、哈希校验、确定性安装、防止依赖混淆、漏洞扫描、密钥管理、Dev Container 隔离，以及维护者侧的 2FA、可信发布、构建证明与 SBOM 等。
面向软件生命周期的 Secure by Design 原则知识库，整合英国政府10项原则与澳大利亚 ASD/ACSC 6项基础，供智能体查询以评估和改进安全优先的设计、开发与部署实践。
该条目描述的是一个分发 Malwarebytes Premium 破解版/预激活版的技能，属于非法软件盗版行为。资料明确指出其分发破解的安全软件，存在法律与安全风险：违反版权法与 Malwarebytes 服务条款、破解版常含后门或木马、无法获得合法安全更新、可能面临法律责任，并且破解者常注入间谍软件或键盘记录器。资料不推荐使用该项目，并给出合法替代方案：官方 Malwarebytes 免费版（https://www.malwarebytes.com/）、官方 14 天 Premium 试用、购买正版授权（单设备约 40 美元/年，家庭包 5 设备约 80 美元/年，另有商业授权）、Windows Defender（Windows 10/11 内置免费），以及其他合法免费选项如 Avira Free Security、Bitdefender Antivirus Free、Kaspersky Security Cloud Free。该条目本身不提供任何可实际使用的软件功能或安装步骤，核心信息是警示与合规建议。
Internet Identity（简称 II）是互联网计算机（Internet Computer）原生的身份认证系统。用户可以使用设备上存储的 passkey，或通过 OpenID 账户（如 Google、Apple、Microsoft）登录由 II 提供认证支持的应用，无需用户名和密码。每个用户在每个应用上都会获得唯一的 principal，从而防止跨应用追踪。该技能文档覆盖 passkey 与 OpenID 登录流程、delegation（授权委托）处理、principal 按应用隔离，以及集成过程中的常见错误与注意事项。内容面向开发者，包含前端 Vanilla JavaScript/TypeScript 登录流程示例、依赖版本配对要求、Canister ID 说明、本地开发与主网环境的差异处理等。资料还详细列出了会破坏构建的典型错误，例如为环境使用错误的 II URL、identityProvider 传参格式错误、未 await signIn()、误用 fetchRootKey()、principal 为 2vxsx-fae（匿名 principal）等。核心依赖包括 @icp-sdk/auth 与 @icp-sdk/core 需要主版本配对，Motoko 后端示例使用 mo:identity-attributes。
该技能介绍在获得授权的渗透测试中，使用 sqlmap 检测和利用 SQL 注入漏洞，以提取后端数据库内容。内容涵盖使用时机、前置条件、从识别注入点到枚举数据库结构、导出数据、测试高级利用向量、使用 tamper 脚本绕过 WAF、生成报告与清理的完整工作流，并附有常见场景、关键概念、工具清单和输出格式示例。
Supabase Auth 技能用于在 Supabase 中管理身份认证与用户操作，覆盖注册、登录、登出、密码重置和用户管理。它通过 Supabase Auth API 提供邮箱/密码认证、会话管理、用户元数据与密码恢复能力，并区分普通客户端操作与需要 service role key 的管理员操作。使用前需配置 SUPABASE_URL 与 SUPABASE_KEY 环境变量，并加载共享的 Supabase API 辅助脚本。
面向渗透测试的 Linux 命令参考技能，按侦察、枚举、利用、提权和后渗透阶段整理实用命令与速查表，可通过克隆仓库离线使用。
Pentest Checklist 是一个用于规划、执行和跟进渗透测试的综合性清单技能，来源于 davila7/claude-code-templates。它帮助用户在渗透测试全流程中做到充分准备、准确定义测试范围并有效修复发现的漏洞。该技能覆盖五个阶段：范围定义（明确测试目标、测试类型、威胁枚举、范围边界、预算规划）、环境准备（准备测试环境、运行初步扫描、审查安全策略、通知托管供应商、冻结开发部署）、专家选择（寻找合格渗透测试人员、定义方法论、确定报告格式）、监控（实施安全监控、配置日志、监控异常工具、关注安全工具告警）、以及修复（确保备份、预留修复时间、制定测试期间补丁策略、执行清理流程、安排下一次渗透测试）。它还提供测试前和测试后的快速检查清单、常见问题排查表以及范围定义和监控设置的示例。使用该技能需要明确的业务目标、目标环境信息、预算和时间限制、干系人联系与授权、法律协议和范围文档。输出包括渗透测试范围与目标、准备好的测试环境、安全监控数据、漏洞发现报告、修复计划与验证。
MCP Server Security 是一份面向 Model Context Protocol（MCP）服务器的综合加固指南。MCP 是连接 AI 智能体与外部工具、数据源和服务的开放标准，由于 MCP 服务器会在真实基础设施上执行真实操作，因此是高价值攻击面。该技能覆盖在生产环境向智能体暴露 MCP 服务器之前所需的各层防御，包括传输加密、工具授权、输入验证和审计日志。适用场景包括：向 AI 智能体暴露工具（文件系统、数据库、API）的 MCP 服务器部署；通过 stdio、SSE 或 Streamable HTTP 传输将智能体运行时（Claude Desktop、Cursor、自定义编排器）连接到一个或多个 MCP 服务器；多租户平台；通过 MCP 资源传递敏感数据（PII、凭据、内部文档）；以及 SOC 2、HIPAA、PCI-DSS 等需要工具调用可审计的受监管环境。若 MCP 服务器仅在本地通过 stdio 为单个开发者运行且无网络暴露，可放宽部分传输层控制，但输入验证和审计日志仍然适用。
中文介绍正在整理，稍后补充。
面向初创团队和小型团队的移动设备管理（MDM）实践指南，覆盖 macOS、Windows、iOS 和 Android 设备的注册、安全加固与远程管理。内容包含何时引入 MDM 的判断标准、主流 MDM 平台对比（Jamf Pro、Microsoft Intune、Kandji、Mosyle、Fleet、SimpleMDM）、开源方案 Fleet 的自托管部署（Docker Compose、TLS 证书、fleetctl 注册）、macOS 与 Windows 的注册流程、跨平台安全策略（密码、锁屏、加密）、软件部署（Homebrew Bundle、winget）、基于 osquery 的合规检查以及远程锁定与擦除。
该技能提供系统化的 Keycloak 管理指导，覆盖安装配置、realm 管理、用户与组管理、客户端配置、认证流程、安全加固与运维最佳实践，支持单机与集群部署，用于构建安全可扩展的身份与访问管理（IAM）方案。
该技能用于指导用户使用各类安全扫描工具，覆盖网络发现、漏洞评估、Web 应用测试、无线安全、恶意软件检测、云安全与合规检查等场景。内容以工具选择、配置和实际命令用法为主，涉及 Nmap、Masscan、Nessus、OpenVAS、Burp Suite、OWASP ZAP、Nikto、Aircrack-ng、Kismet、ClamAV、Metasploit、Prowler、ScoutSuite、Lynis、OpenSCAP 等工具，并给出扫描方法论、报告生成方式、常见问题排查与法律授权注意事项。
该技能为 JavaScript/TypeScript 应用提供系统化的安全审计与漏洞检测，遵循 OWASP Top 10 标准。它结合审计工作流与安全模式，适用于生产级代码。技能与框架无关，可应用于 Express、Fastify、Nest.js、Next.js 等，并适配 npm、yarn、pnpm、bun 等包管理器。主要能力包括：识别硬编码密钥、输入验证缺失、注入漏洞（SQL/NoSQL/命令/XSS）、访问控制缺陷、认证不安全、速率限制缺失、敏感数据暴露、安全配置错误、依赖漏洞、CSRF 缺失、SSRF 等。使用方式分为审计模式（直接调用技能生成结构化报告）和实施模式（在功能开发中自动修复）。工作流分四阶段：发现、分类、修复、验证。技能采用渐进式披露，按需加载参考文件，并提供报告模板。适用场景为对 JS/TS 代码库进行安全审查或开发中嵌入安全实践。限制：仅针对 JavaScript/TypeScript 应用，不涉及其他语言；具体框架适配需用户自行调整；未提供收费、价格或平台信息。
该技能用于分析结构化和非结构化的威胁情报源，从中提取可操作的指标（IOC）、攻击者战术与战役上下文。适用于接入新的商业或开源威胁情报源并评估其信噪比、将异构 IOC 格式（STIX 2.1、OpenIOC、YARA、Sigma）归一化为统一模式、评估情报源的新鲜度/保真度/与组织威胁画像的相关性，以及构建将 IOC 与 SIEM 事件关联的自动化富化流水线。不适用于原始数据包捕获分析，或在未建立 CTI 基线前进行实时事件分诊。
本技能介绍在获得授权的渗透测试中，如何通过强制浏览（Forced Browsing）发现并访问未受保护的页面、API 和管理接口。内容涵盖使用 ffuf、Gobuster 等工具进行目录与文件枚举，探测管理后台、调试接口、备份与配置文件，并测试认证是否在所有端点一致执行，包括 HTTP 方法绕过、路径规范化绕过等检测方法，最终输出包含路径、状态码、认证要求与影响的安全发现报告。
IaC Security Scanner Skills 是一套面向基础设施即代码（IaC）的 AI 安全扫描技能，由 ara.so 的 Security Skills 集合提供。它针对 Terraform 和 CloudFormation 项目进行上下文感知的安全分析，不同于传统 linter，能够识别跨域攻击链、权限提升路径和合规缺口。扫描流程分为三步：分析仓库结构、资源、信任边界与暴露点；并行扫描 IAM、网络、存储、密钥、日志、无服务器等安全域；关联跨域攻击路径并计算最小修复集。支持完整、快速、范围限定三种扫描模式，输出 HTML、CSV 和终端格式。安装方式为将技能文件复制到 IaC 项目根目录，兼容 Opencode、Codex CLI、Windsurf、Claude Code、Cursor 等 IDE。
面向授权渗透测试的提权技能，汇总 Linux 与 Windows 从低权限用户提升至 root/管理员的方法，涵盖 sudo 滥用、计划任务、Capabilities、NFS、令牌模拟、服务滥用及 AD 攻击（Kerberoasting、黄金票据等）。仅限教育与经书面授权的安全评估使用。