SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-27 00:15
7,492 个结果
Skills Audit（SkillLens）是一款用于审计本地已安装 Agent 技能（Agent Skills）的安全与策略问题的工具，通过 SkillLens CLI 执行 `skilllens scan` 和 `skilllens config` 命令完成扫描与配置查看。它适用于需要对本地技能目录进行安全审查的场景，帮助识别技能中的不安全或可疑行为，例如向远程端点外泄文件内容、环境变量、令牌、SSH 密钥、浏览器数据或配置文件，执行任意 Shell 命令、curl | bash、eval 或获取并执行代码，修改 Shell 配置、启动代理、cron、编辑器配置或技能安装位置，绕过权限或审批机制，以及提示注入等风险。
aircrack-ng 是一套用于 802.11 无线网络安全审计的参考工具套件，包含 airmon-ng（开启监听模式）、airodump-ng（抓包）、aireplay-ng（注入与去认证）和 aircrack-ng（离线破解）等组件。它可以在监听模式下捕获无线帧，提取 WPA/WPA2 四次握手，并对捕获到的握手包执行离线字典攻击，也支持将抓包转换为 hashcat 格式进行 GPU 加速破解。工具强调必须仅用于自己拥有或已获得书面授权审计的网络。
Breach Data 是一个用于检查数据泄露与凭据泄露的安全技能，主要基于 HaveIBeenPwned（HIBP）API，并整合 DeHashed、IntelX、LeakCheck 等来源。它可用于查询某个邮箱或域名是否出现在已知数据泄露事件中，检查邮箱是否出现在 Pastebin 等粘贴站点，以及通过 k-Anonymity 模型检查密码是否已在泄露中出现（仅发送 SHA-1 哈希前 5 位，不发送完整密码）。该技能提供 Python 代码示例，涵盖 HIBP 初始化、单邮箱检查、粘贴站点检查、域名级泄露搜索（需付费订阅）、密码哈希检查、带速率限制的批量邮箱检查，以及 DeHashed 和 IntelX 的查询示例。使用 HIBP 账户/域名查询需要 API 密钥，个人使用免费，域名搜索为付费功能；免费 API 密钥约每分钟 10 次请求，建议请求间隔 1.5 秒。该技能强调仅用于防御性安全目的，如测试自身组织、授权安全评估和安全意识培训，不得用于访问非本人所有的账户。
CCPA/CPRA 合规技能，面向处理加州居民数据的企业。该技能提供加州消费者隐私法案（CCPA）及经加州隐私权法案（CPRA，2023年1月1日生效）修订后的合规实现参考，涵盖消费者权利（知情、删除、退出、更正、限制敏感信息、可携带、不受歧视）、敏感个人信息保护、数据清单与映射、隐私声明要求、GPC（全球隐私控制）信号检测、数据主体请求（DSR）API、数据导出流程、退出销售/共享机制以及合规检查清单。适用于服务加州用户、构建隐私合规流程或实现 DSR 工作流的场景。
Censys 是一款持续扫描整个互联网并索引可达主机的搜索引擎，可查询开放端口、TLS/SSL 证书、服务 banner 与配置等信息。它在基于证书的资产发现方面尤为突出：索引证书透明度日志，并支持从证书主体名称反向定位 IP 地址，或将 IP 地址关联到更多域名，因此适合发现与目标组织相关的未知或影子基础设施。资料给出的典型查询包括按域名通配证书、按自治系统名称、按开放端口、按国家、按 CIDR 段以及按 HTTP 标题查找主机。使用需要 Censys API key，免费账户每月 250 次查询。可通过 pip install censys 安装官方 Python SDK，并设置 CENSYS_API_ID 与 CENSYS_API_SECRET 环境变量进行认证。
一项应用 Google Cloud 架构完善框架安全支柱的技能，从身份、网络、数据、供应链、运行时与运维等层面评估工作负载并给出具体安全控制建议，涵盖零信任、左移扫描、VPC Service Controls、Cloud Armor、Binary Authorization、CMEK 与 Security Command Center 等实践。
Ghidra 是美国国家安全局（NSA）开源的反汇编与反编译套件，用于对编译后的程序进行逆向工程，读取并脚本化其行为。它可加载可执行文件、库和固件镜像，恢复函数与数据类型，并将机器码反编译为类 C 源码。除图形界面外，Ghidra 还提供无头分析器 analyzeHeadless 和 Python 库 PyGhidra，使智能体无需打开窗口即可导入二进制、运行分析并提取结果。安装方式为：准备 JDK、下载发布版 zip、校验 SHA-256 后解压到新目录，并设置 GHIDRA_INSTALL_DIR 环境变量。无头分析通过命令行指定项目目录与项目名，配合 -import 或 -process 等参数完成导入、分析与脚本执行。脚本可用 Java（继承 GhidraScript）或 Python（PyGhidra）编写。该工具适用于恶意软件分析、授权范围内的漏洞研究、自有设备固件分析以及 CTF 挑战等场景，仅限合法授权用途。
WhatWeb 是一款网站技术指纹识别工具，可识别目标网站使用的 CMS 平台、Web 框架、JavaScript 库、分析工具、Web 服务器、嵌入式设备及版本号等信息，内置超过 1800 个检测插件。它支持单 URL、多 URL 或从文件批量扫描，提供 JSON、XML、CSV 等输出格式，并设有 4 个探测强度等级（1 隐蔽、3 激进、4 重度）。WhatWeb 常用于渗透测试前的信息收集、资产技术栈梳理、WAF 与安全响应头检测等场景。可通过 apt、brew、源码或 Docker 安装。使用时需获得明确书面授权，激进模式会产生明显流量并可能触发 WAF，检测结果可能存在误报，关键发现建议人工复核。
1Password CLI（op）的设置与使用技能，用于安装命令行工具、启用桌面应用集成、登录（单账户或多账户）以及执行 op 命令。该技能强调遵循官方入门步骤，不猜测安装命令，并提供了 get-started 与 cli-examples 两份参考文档。工作流程包括检查操作系统与 shell、用 op --version 验证 CLI、确认桌面应用集成已启用且应用已解锁，并要求在专用 tmux 会话中执行所有 op 命令，通过 op signin 登录、op whoami 验证访问权限，多账户时使用 --account 或 OP_ACCOUNT。安全护栏要求不将密钥粘贴到日志、聊天或代码中，优先使用 op run / op inject 而非写入磁盘。
healthcheck 是针对 OpenClaw 部署的主机安全加固与风险容忍度配置技能，来源于 termix-official/cryptoclaw。它用于在用户提出安全审计、防火墙/SSH/系统更新加固等需求时，评估并加固运行 OpenClaw 的主机，并在不破坏远程访问的前提下，将配置对齐到用户定义的风险容忍度。该技能将 OpenClaw 安全工具的输出作为首要信号，同时把操作系统层面的加固视为独立、明确的一组步骤。核心规则包括：建议使用先进模型运行（如 Opus 4.5、GPT 5.2+），代理会自检当前模型并在低于该水平时建议切换但不阻止执行；任何改变系统状态的操作都必须获得明确批准；未经确认用户连接方式，不得修改远程访问设置；优先采用可逆、分阶段的变更并准备回滚方案；不得声称 OpenClaw 会改变主机防火墙、SSH 或系统更新；若角色/身份未知，只提供建议；每组用户选择必须编号以便用户用单个数字回复；建议进行系统级备份并尽量核实状态。技能流程依次为：模型自检、只读方式建立上下文、运行 OpenClaw 安全审计、检查版本/更新状态、确定风险容忍度、生成修复计划、提供执行选项、带确认执行、验证并报告，并涵盖必须的确认项、周期性检查、命令准确性、日志与审计记录以及条件性内存写入等内容。
AgentSec 探测套件（agentsec-probe-suite）是一个尚在规划中的技能，目标是把 200+ 对抗性探测（注入、PII 外泄、拒答规避、破坏性工具意图）接入 CI，用于生产前红队测试。当前尚未编写，暂无可用功能。
该技能用于审查面向公众的 HTML 表单（无需登录即可访问）是否具备机器人与滥用防护机制。它要求识别联系、注册、登录、密码重置、订阅、评论等所有公开表单，检查其是否配置了 CAPTCHA、蜜罐字段或服务端限流，并确认 CAPTCHA 令牌在服务端完成校验。修复建议为在全部公开表单上集成 Cloudflare Turnstile、hCaptcha 或 Google reCAPTCHA v3 等验证服务，在服务端验证响应令牌后再处理提交，并辅以限流作为纵深防御。技能还提供对凭据填充与垃圾机器人攻击的说明，以及不同 CAPTCHA 方案（v2 复选框、v3 隐形、Turnstile）之间的取舍分析。
该技能用于审计 Web 服务器或 CDN 的 HTTP 响应头，检查并修复 X-Content-Type-Options: nosniff 安全加固配置。它针对 MIME 类型嗅探攻击：浏览器若进行 MIME 嗅探，可能被诱骗执行伪装成图片上传的恶意 JavaScript，即使服务器声明 Content-Type: image/png。设置 nosniff 可强制浏览器遵循声明的类型。该技能提供检查、修复、解释和代码审查四类操作，覆盖 HTML 页面、脚本、样式表和 API 响应，并建议与正确的 Content-Type 头配合使用以实现纵深防御。配置耗时约 5 分钟，无兼容性问题。
policy-agent 是一个面向 Rails 应用的 Pundit 授权策略生成技能，用于创建安全、可测试的授权策略。它强调最小权限原则（默认拒绝），要求每个策略都配套编写 RSpec 测试，并检查每个控制器动作是否都有对应的 authorize 或 policy_scope。该技能基于 Ruby 3.3、Rails 8.1 与 Pundit 技术栈，覆盖 app/policies、app/controllers、app/models 与 spec/policies 等目录，提供策略生成、测试运行、代码检查与授权审计等命令，并包含基础 CRUD、角色、复杂逻辑、时间条件、管理操作等策略模式参考。
1Password CLI（op）的设置与使用技能，用于安装 CLI、启用桌面应用集成、登录（单账户或多账户）以及执行 op 命令。该技能强调遵循官方 CLI 入门步骤而非猜测安装命令，并提供了 get-started 与 cli-examples 两份参考文档。工作流程包括检查操作系统与 shell、用 op --version 验证 CLI 是否已安装、确认桌面应用集成已启用且应用已解锁，并要求在专用的 tmux 会话中执行所有 op 命令（不允许在 tmux 之外直接调用 op）。登录与授权通过 op signin 在 tmux 内完成，随后用 op whoami 验证访问权限，多账户场景使用 --account 或 OP_ACCOUNT。技能还给出 tmux 会话的具体命令示例，并列出安全护栏：不将密钥粘贴到日志、聊天或代码中，优先使用 op run / op inject 而非将密钥写入磁盘，若无法使用桌面应用集成则用 op account add，遇到未登录提示需在 tmux 内重新登录并在应用中授权，tmux 不可用时停止并询问。
用于测试和审计 API 端点常见安全漏洞的技能，覆盖 OWASP Top 10 相关风险，包括认证流程测试、授权（IDOR）测试、输入校验、速率限制检查、安全响应头检查、CORS 配置错误检查以及 SSL/TLS 检查。提供基于 curl 的示例命令，帮助安全测试人员系统性地对 API 进行非破坏性探测。
AWS Secrets Manager 技能用于管理 AWS 上的应用密钥，支持检索、创建、更新、描述、轮换和删除密钥。该技能主要通过 aws secretsmanager 命令行操作完成，例如 list-secrets 列出密钥及其描述、最后修改时间和轮换状态，get-secret-value 获取密钥值，create-secret 创建新密钥，put-secret-value 更新密钥值，describe-secret 查看密钥详情，rotate-secret 触发轮换，delete-secret 删除密钥并设置恢复窗口。密钥值可以是纯字符串，也可以是 JSON 格式。注意事项包括：删除后存在 7 至 30 天的恢复窗口，可用 --force-delete-without-recovery 跳过；创建、更新或删除密钥前应先确认；检索到的值属于敏感信息，应避免记录到日志中。
Azure Key Vault 技能，用于通过 Azure CLI 管理密钥保管库中的机密、密钥与证书，支持列出保管库、机密、密钥和证书，以及获取、设置和删除机密，并提供软删除等注意事项。
Dependency Audit 是 ThinkFleet Engine 中的依赖审计技能，用于扫描项目依赖中的安全漏洞、识别过期包、检查许可证合规性，并排查供应链风险。它覆盖 Node.js（npm/pnpm）、Python（pip-audit、pip-licenses）、Go（govulncheck）和 Rust（cargo-audit）等生态，提供各语言对应的扫描、过期检查、许可证检查、依赖树查询和供应链检查命令，帮助开发者在合并依赖更新前完成安全与合规审查。
Security Scanning 是一个面向开发与安全流程的命令行安全扫描技能集，整合多种开源与商用工具，用于对代码、依赖、密钥和容器镜像进行安全检查。其核心能力包括四大类：静态分析（SAST）使用 Semgrep 检测代码级漏洞，支持 auto 规则、OWASP Top 10 规则、按语言扫描、JSON 输出和严重级别过滤；依赖漏洞扫描（SCA）使用 Trivy、Snyk 以及 npm/pnpm/pip 自带的 audit 命令，检测已知 CVE 并支持 CI 失败退出；密钥检测使用 TruffleHog 扫描 git 历史或文件系统中的泄露凭据；容器镜像扫描使用 Trivy 和 Grype，支持本地与远程镜像、严重级别过滤及 JSON 报告。该技能还提供了一个快速分类处理流程：先查密钥，再查依赖，再查代码，最后查镜像。注意事项包括：SAST 误报常见需人工复核，严重级别按 CRITICAL>HIGH>MEDIUM>LOW>INFO 排序应优先处理高危项，CI 中可用 Trivy 的 --exit-code 1 或 Semgrep 的 --error 使构建失败，大仓库扫描 git 历史较慢可用 --since-commit 限制范围，Snyk CLI 首次使用需先执行 snyk auth。
Skills Audit（SkillLens）是一个用于审计本地已安装智能体技能（agent skills）的安全与策略问题的工具，通过 SkillLens CLI 提供扫描与配置能力。它可帮助用户发现技能中可能存在的安全风险，例如数据外泄、任意命令执行、持久化修改、权限绕过、提示注入以及触发范围过宽等问题。使用时可通过 npx skilllens scan 一次性运行，或通过 pnpm add -g skilllens 全局安装。用户可先运行 skilllens config 查看已配置的扫描根目录与审计器 CLI 可用性，再运行 skilllens scan 扫描配置根目录，或指定路径扫描特定目录。扫描支持 --verbose 查看原始审计输出、--force 忽略缓存结果。审计流程包括定义范围、清点技能、按风险优先级审查、手动阅读 SKILL.md 及相关脚本与资源、评估现实滥用风险，并生成包含名称、路径、判定、风险评分与具体证据的报告，同时给出缩小影响面的修复建议。
Veil 是一个面向智能体的技能，封装了 @veil-cash/sdk 命令行工具，用于在 Base 网络上进行隐私与屏蔽交易。它支持本地生成和存储 Veil 密钥对、检查配置与中继健康状态、查询合并余额/队列余额/隐私余额，并通过 Bankr 构建未签名交易来完成存款，以及使用 ZK 证明在本地执行提现、转账和合并等隐私操作。
Terraform Security Scan 是一个用于对 Azure 基础设施的 Terraform 配置进行安全扫描与合规检查的技能。它适用于审查 Terraform 代码中的安全漏洞、检查是否符合安全框架、部署前安全门禁、安全审计与评估，以及拉取请求的安全审查。技能覆盖认证与密钥、加密、网络安全、RBAC 与访问控制等检查类别，并给出不安全与安全写法的示例。它支持使用 tfsec 进行静态分析、使用 Checkov 扫描，并可与 CI/CD 集成，例如在 GitHub Actions 中作为安全门禁运行。合规框架方面涉及 Azure Security Benchmark 和 CIS Azure Foundations 的关键控制项。
gitleaks 是一个用于在经授权的仓库或文件系统中发现泄露密钥的技能，适用于代码审查、仓库卫生评估以及密钥清理后的重复验证。它提供可复现的扫描命令，支持自定义规则和 JSON 报告。