skill-08-security-audit
面向 Web3 智能合约的安全审计技能，可在交互未知合约前做漏洞检测、Rug Pull 与蜜罐排查，并监测活跃攻击事件。依赖 blockchain-rpc-server、defi-protocol-server 等 MCP 及安全知识库。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-27 00:15
安全与审计
7,493 个结果
skill-10-identity-did
用于管理去中心化身份（DID）的技能，涵盖DID创建与解析、可验证凭证、ENS名称、ZK-KYC及链上证明，适用于身份验证与合规场景。
skill-15-mev-protection
该技能用于在链上交易中防范 MEV 攻击，结合 Flashbots 私有交易、意图交易与 TWAP 分批下单，适用于高价值兑换、清算等场景。
cloud-security-prowler
该技能用于运行 Prowler 对 AWS、Azure、GCP 进行云安全态势评估，支持 CIS Benchmark、PCI-DSS、HIPAA、GDPR 等合规检查，输出 JSON 结果并整理发现与修复建议。
cloud-security-scoutsuite
ScoutSuite 多云安全审计技能：从 AWS、Azure、GCP、Oracle 和阿里云采集配置数据，生成可交互报告，用于云环境安全审计。
dependency-confusion-detect
该技能用于检测依赖混淆与仿冒包（typosquatting）供应链风险，借助 Confused 检查内部包名是否已发布到公共仓库，并用 GuardDog 扫描恶意或可疑包。
iac-scan-tfsec
该技能用于使用 tfsec（现已并入 Trivy）扫描 Terraform（HCL）代码中的安全配置错误。它针对 Terraform 模块、变量等提供深度 HCL 分析，帮助安全工程师发现基础设施即代码中的安全问题。使用时需先安装 tfsec 或 Trivy，然后对目标 Terraform 目录运行扫描并输出 JSON 结果，再解析结果并按严重级别汇总，给出具体的 HCL 代码修改建议和规则文档链接。适用于专门针对 Terraform 代码的安全审查场景；若需更广泛的 IaC 扫描，可考虑 Checkov。
license-scan-scancode
该技能使用 ScanCode Toolkit 对代码库进行许可证与版权检测，识别许可证类型、版权持有人及合规义务，并汇总许可证分布、Copyleft 风险与未检测到许可证的文件。
sast-bandit
使用 Bandit 对 Python 代码进行 SAST 静态应用安全测试扫描，检测 SQL 注入、硬编码密码、exec 使用和不安全加密等常见安全问题。该技能以安全工程师角色运行 Bandit，确定扫描目标、执行扫描命令、解析 JSON 结果并以表格形式呈现发现项，最后给出按严重程度汇总与修复建议。
sast-detekt
该技能用于对 Kotlin 代码运行 detekt 静态分析，并聚焦安全相关规则，可检测硬编码密钥、不安全加密及影响安全的代码质量问题。
sast-semgrep
该技能用于使用 Semgrep 对代码执行 SAST 静态安全扫描，支持 30 多种语言及 OWASP、安全、自定义规则集，解析结果并给出修复建议。
sca-npm-audit
该技能用于对 Node.js 项目执行 npm 内置的软件成分分析（SCA），通过 npm audit 扫描依赖漏洞并给出修复建议。
sca-osv-scanner
该技能用于运行 Google 的 OSV-Scanner 执行软件成分分析（SCA），检测项目依赖中的已知漏洞。它支持扫描主流包生态系统的锁文件与 SBOM，包括 npm、PyPI、Maven、Go、Cargo、NuGet 等。使用时需先安装 OSV-Scanner，然后通过命令行对目标目录、指定锁文件或 SBOM 文件执行扫描，并以 JSON 格式输出结果。扫描完成后可解析 JSON 结果，按严重程度整理漏洞列表，提供受影响包、已安装版本、修复版本、升级命令及 OSV 公告链接，帮助安全工程师快速审计第三方库并优先处理高危问题。
secure-coding-generate
面向安全编码的生成技能：依据 OWASP 安全编码规则文件生成新代码，自动判断所属安全领域并加载相应规则，在代码中以内联 Rule ID 引用标注每项安全决策，并输出 Rules Applied 汇总表。
kilo-security-review
面向 Kilo CLI 与 OpenCode 的全栈安全审查技能，以渗透测试标准产出分级报告，包含 CVSS 评分、CWE/OWASP 映射与 HackerOne 参考报告，要求高危问题提供可复现的 PoC 和实际代码修复。
vulnerability-scanner
vulnerability-scanner 是一款面向安全审计的漏洞分析技能，提供 OWASP 2025、供应链安全、攻击面映射与风险优先级排序等原则，主张以攻击者视角审视系统。含可运行脚本与检查清单，用于项目安全验证。
bff-proxy-security-contracts
面向前端仓库自有服务端 BFF/API 代理代码的发布前安全审查与整改技能，覆盖 Next.js API Routes/Route Handlers、Remix 等场景，重点是把代理路由当作小型能力边界而非透明隧道。
download-export-safety
用于审阅或实现浏览器端导出/复制流程的安全技能，覆盖 CSV/Excel 公式注入风险、Blob/Object URL 生命周期、剪贴板失败回退、导出文件名与数据结构等。
payment-page-client-security
用于审查结账/支付页面前端支付安全的技能，聚焦持卡人数据是否被商户 JavaScript 接触、支付页脚本是否已知且合理、脚本与响应头篡改信号是否可观测，产出可供评审使用的证据而非 PCI 合规结论。
github-dependabot-report
本技能用于为 walletconnect、reown-com 和 walletconnectfoundation 三个 GitHub 组织生成 Dependabot 安全告警报告。报告以 Markdown 格式输出，按团队归属（GitHub topic，如 team-* 前缀）对告警进行分组，并区分未归属仓库和标记为 out-of-scope 的仓库。默认只统计 critical 和 high 两个严重级别，可通过参数包含 medium 级别。适用于每周或每月的安全态势审查、安全审计准备、漏洞修复进度追踪以及团队级安全健康度评估。需要 GitHub CLI（gh）已认证并有权访问目标组织，同时需要 Python 3.10+。CI 场景下使用的 DEPENDABOT_REPORT_GH_PAT 必须是 classic PAT，因为细粒度 PAT 仅限单个组织，而本报告需扫描三个组织。
hubspot-security-queue
用于汇总 HubSpot 安全工单流水线队列的技能：生成 Markdown 报告，展示全部工单、按阶段分布、未分配工单及 AI 分诊状态，适合安全队列站会准备、分诊积压检查与安全运营汇报。
kong-exploit
Kong API网关及Konga管理平台漏洞利用与检测技能。该技能覆盖Kong、Konga和Insomnia相关组件的已知漏洞利用手法与识别方法，包含CVE-2020-11710（Kong Admin API未授权访问，影响Kong <=2.0.3）、Kong Admin API SSRF代理攻击、CVE-2021-44103（Konga 0.14.9普通用户提权至管理员）、CVE-2025-1087（Insomnia <11.0.2 Nunjucks模板注入RCE）、CVE-2025-1353（Insomnia <=10.3.0 DLL劫持代码执行）。技能提供漏洞决策树、利用链优先级、端点端口对照表、SSRF与提权速查命令及综合检测脚本，用于授权渗透测试和安全评估场景。
ssti-detect
用于快速检测服务端模板注入（SSTI）漏洞并识别模板引擎的检测技能，适用于用户输入回显到页面、参数名含 template/name/message/greeting 等场景。仅做检测与引擎判断，不涉及具体利用。
astro-release-security
Astro Release Security（astro-release-security）是一个面向 withastro/astro 发布流程的发布阻断式安全审查技能，归属于 withastro/factory 技能集。它的核心用途是在 Astro Changesets 发布 PR 正式发布之前，对即将发布的代码进行安全审查，只报告足以阻断发布的、可被利用的漏洞，而不做普通代码审查。该技能要求完成完整的包清单核对、已公布安全公告的回归检查、新漏洞排查以及最终的对抗性验证，只有全部通过后才能返回 PASS。它基于已检出的发布快照和只读 git 信息工作，没有 shell 和网络，且明确禁止执行仓库控制的代码。适合 Astro 维护者在发布前用于安全把关，能对漏洞给出阻断判断和可复现的利用路径。