dependabot-alerts
用于将 GitHub Dependabot 安全告警分流为 GUS 工作项的技能，仅由用户主动调用，不自动触发。它会追踪漏洞依赖到最外层调用方，并只输出工作项，不创建分支、升级版本或 PR。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-28 00:17
安全与审计
7,577 个结果
repo-hardening
repo-hardening 是一个用 gh CLI 审计并加固 GitHub 仓库安全设置的技能，通过 scripts/harden.sh 检查分支保护、Dependabot、密钥扫描、合并策略、Actions 权限等并生成可修复建议。
security-hardening
面向 Web 应用的安全加固技能，覆盖 OWASP Top 10、安全响应头、输入校验、认证与授权、CSRF、限流与密钥管理，并提供 Next.js、Zod、Prisma、Argon2、Upstash 等实现示例。
verify-ai-department-package
用于独立审计 AI 部门包或可安装包的验证技能，检查工作流适配、权限、拓扑简洁性、生产者与验证者分离、证据链等，并给出分级结论。
firebase-auth
Firebase Authentication 是用于 Web 和移动应用的认证服务，支持邮箱密码、社交登录、电话号码和匿名用户等多种登录方式，适合为应用快速接入 Google 生态的认证能力。
analyzing-ios-app-security-with-objection
这是一项面向 iOS 应用运行时的安全测试技能，基于 Objection（构建在 Frida 之上）。它用于在获得授权的渗透测试中，动态检查 iOS 应用的 Keychain、文件系统与内存中的敏感数据，探索应用内部结构，并对客户端安全控制（如 SSL 证书绑定、越狱检测）进行验证与绕过。该技能覆盖 MASVS-STORAGE、NETWORK、AUTH、RESILIENCE、PLATFORM 等评估方向，可挂钩 Objective-C/Swift 方法、监控网络与生物识别调用、搜索内存字符串等。使用前需具备 Python 3.10+、Objection、Frida 工具、目标 iOS 设备及 USB 或网络连接，推荐 macOS 环境。所有修改均为运行时行为，重启应用即失效，且不得在未授权设备上使用。
ethical-hacking-methodology
该技能为渗透测试提供完整的流程框架，覆盖从侦察到报告的五个阶段，并介绍相关工具、攻击技术及专业报告要求。技能强调仅用于经授权的安全评估：运行任何探测、利用、更改、驻留、数据提取或凭据访问命令前，必须先确认目标URL、IP、账号或资源，确认书面授权与允许范围，展示具体命令并解释预期效果，等待当前对话明确确认；否则保持只读，仅提供防御性指导，并优先使用沙箱、一次性虚拟机或受控实验室。内容包含黑客类型分类、被动与主动侦察、端口与服务枚举、漏洞分析、利用、维持访问、提权、痕迹清理与报告撰写，以及Kali Linux安装、常见攻击类型、道德准则与故障排查。
wordpress-penetration-testing
用于对 WordPress 站点进行授权安全评估的智能体技能，检测常见漏洞及 WordPress 7.0 攻击面，需事先取得书面授权。
burpsuite-extension-skill
用于开发 Burp Suite 扩展的技能资料，支持 Java（Montoya API）与 Python（Jython）两种方式，涵盖 HTTP 监听、扫描检查、Intruder 载荷、UI 标签页等扩展类型，并提供环境搭建、模板、最佳实践与调试指引。
n8n-single-node
针对单节点自托管 n8n 2.x 的运维技能，记录官方文档与常见指南未覆盖的故障特征与排错条目，如加密密钥不匹配、数据库未就绪、备份与恢复、版本陷阱等，并附有实测与验收经验。
fix-security-vulnerability
来自 getsentry/action-release 的技能，用于分析 Dependabot 安全告警并给出修复建议。支持单个告警分析与全量扫描两种模式，可更新依赖、重建 dist、运行测试并提交修复分支或按理由关闭告警。
fix-security-vulnerability
用于分析 Dependabot 安全告警并为 sentry-changelog Next.js 应用提出修复建议的技能。它不会自动提交，始终先呈现分析结果并等待用户批准。
vm-security
vm-security 是一个面向 Ubuntu/Debian Linux 虚拟机的 SSH 审计与加固技能，由两个通过 SSH 管道执行的脚本组成：audit.sh 以只读方式检查系统并按 [!] 标记发现项，harden.sh 以幂等方式执行加固步骤。加固内容包括：创建单一管理员用户并仅允许密钥登录、禁用 root 与密码认证、配置 fail2ban、ufw、无人值守安全更新、sysctl、journald 容量限制和可选登录告警。附带操作流程：先建立复用连接、先审计后变更、评估影响、分两步加固、用新连接验证并支持回滚，最后输出前后对比报告。文档也列出 Docker 端口绕过 ufw、MaxAuthTries 3 需配合 IdentitiesOnly 等注意事项。
vuln-report
vuln-report 是一个用于撰写、修订和提交前检查漏洞报告与安全公告的技能，强调可复现证据、明确影响边界与合规披露，适用于 GitHub 私密漏洞报告、邮件报告及公开披露等渠道。
threat-list
threat-list 是一个安全分析技能：对新的机器学习系统、数据集、API、模型发布、智能体或数据管道，按固定清单逐项排查可能的失效模式（如推理时规避、数据投毒等），产出一份简短备忘录，说明每项是否适用、原因、最现实变体及是否值得研究。
active-directory-certificate-services
AD CS（Active Directory 证书服务）攻击手册，面向渗透测试与红队场景。内容覆盖 ESC1 至 ESC13 各类证书模板与 CA 配置缺陷的利用方法，包括注册者可控 SAN、Any Purpose EKU、注册代理、模板 ACL 错误、EDITF_ATTRIBUTESUBJECTALTNAME2 标志、CA 管理员权限、NTLM 中继到 HTTP/RPC 注册端点、弱证书映射与 OID 组链接等。同时包含基于证书的持久化（黄金证书）与攻击决策树，并给出 Certipy、Certify、ntlmrelayx 等工具的具体命令。
active-directory-kerberos-attacks
面向 Active Directory 的 Kerberos 攻击手册，覆盖 AS-REP roasting、Kerberoasting、金/银/钻石/蓝宝石票据、委派攻击、Pass-the-Ticket 与 Overpass-the-Hash，并给出 Impacket、Rubeus、Mimikatz 等工具命令与攻击决策树。
ai-ml-security
AI/ML安全测试手册类技能，用于评估机器学习系统在模型供应链、对抗样本、投毒、模型窃取、隐私泄露、LLM与智能体层面的安全风险。内容覆盖恶意模型文件导致的pickle反序列化RCE、Hugging Face模型投毒与依赖混淆、白盒与黑盒对抗样本攻击（FGSM、PGD、C&W及物理世界补丁）、训练数据投毒与标签翻转、联邦学习梯度操纵、基于查询的模型提取与侧信道、成员推断与模型反演、梯度泄露、LLM训练数据与系统提示提取、智能体权限提升与工具滥用等，并附有防御建议、检测工具（ART、CleverHans、Fickling、ModelScan、NB Defense、Garak、PyRIT、Rebuff）和评估决策树。
api-sec
API 安全测试的 P1 路由入口技能，用于在深入具体主题前先判断 API 问题属于侦察与文档、对象授权、令牌滥用还是 GraphQL/隐藏参数，再路由到对应子技能。
arbitrary-write-to-rce
面向二进制漏洞利用的“任意写转代码执行”实战手册。按 glibc 版本整理可覆盖目标（GOT、__malloc_hook/__free_hook、_IO_FILE vtable、__exit_funcs、TLS_dtor_list、_dl_fini、modprobe_path、.fini_array、C++ vtable、setcontext 等），并给出触发方式与指针 mangling 注意事项。
auth-sec
面向身份认证与授权测试的 P1 分类路由入口，用于在深入测试前判断问题属于登录机制、对象级授权、浏览器信任边界还是 OAuth/JWT/SAML 等身份协议。
authbypass-authentication-flaws
认证绕过测试手册，用于评估登录流程及密码重置逻辑、账户恢复、多因素认证绕过、令牌可预测性与暴力破解防护。覆盖SQL注入登录绕过、重置令牌缺陷、账户枚举、2FA绕过、会话管理与会话令牌预测等。
browser-exploitation-v8
面向浏览器与 V8 引擎漏洞利用的技能手册，涵盖 JIT 类型混淆、边界检查消除、addrof/fakeobj 原语、ArrayBuffer 任意读写、WASM RWX 页、V8 沙箱与 Chrome 沙箱逃逸概览，适用于 CTF 与安全研究场景。
business-logic-vuln
业务逻辑漏洞测试的 P1 分类入口技能，适用于优惠券、库存、支付、审批、配额、邀请、试用与状态流转等场景，关注检查发生时机与业务条件校验，而非解析层问题，可排查竞态条件、流程绕过、价格篡改、负值与折扣叠加等多步缺陷。