security-review
用于代码安全审查的 AI 技能，可识别可利用的安全漏洞，如注入、XSS、SSRF、反序列化、硬编码密钥等。仅报告高置信度发现，需先追踪数据流确认输入是否由攻击者控制，并按严重级别输出结果，常见用法是请求“security review”或“find vulnerabilities”。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-29 00:09
安全与审计
7,624 个结果
ghost-report
Ghost Security 的组合安全报告技能，将 scan-deps、scan-secrets、scan-code 三类扫描结果汇总为一份按优先级排序的报告，输出到仓库扫描目录下的 report.md。
ghost-scan-deps
Ghost Security 的软件成分分析（SCA）扫描技能，用于扫描依赖锁文件、识别已知漏洞与 CVE 并生成发现报告。
ghost-scan-secrets
Ghost Security 的密钥与凭据扫描技能，用于在代码库中检测硬编码的 API 密钥、令牌、密码等敏感数据。它通过编排多个子代理完成初始化、扫描、候选分析和结果汇总。
ghost-validate
ghost-validate 是一个安全技能，用于判断安全发现是真实漏洞还是误报，输出带证据的结论。它提取漏洞类别、具体主张、受影响端点与代码位置，结合源码分析与可选实站验证，给出 True Positive、False Positive 或 Inconclusive 判定及置信度。
agent-owasp-compliance
用于对照 OWASP Agentic Security Initiative（ASI）Top 10 风险检查 AI 智能体代码库的安全合规技能，逐项扫描 ASI-01 至 ASI-10 控制项并生成合规报告。
codeql
CodeQL 代码扫描配置指南，覆盖通过 GitHub Actions 工作流和 CodeQL CLI 两种方式搭建与运行代码扫描。内容包括默认设置与高级设置的选择、工作流触发器、权限、语言矩阵、构建模式、查询套件、单体仓库按组件扫描、依赖缓存、自定义查询包与模型包、SARIF 输出与上传、告警严重级别与分类处理、Copilot Autofix、日志与调试、常见故障排查以及自托管运行器的硬件要求。支持 C/C++、C#、Go、Java/Kotlin、JavaScript/TypeScript、Python、Ruby、Rust、Swift 和 GitHub Actions 等语言标识符。适合需要为代码仓库建立静态安全分析、在 PR 中拦截安全问题或本地运行 CodeQL 分析的开发者与安全团队。
github-actions-hardening
面向 GitHub Actions 工作流文件（.github/workflows/*.yml）的安全加固审查技能，按 Actions 特有的威胁模型分析触发器信任边界、令牌权限与表达式注入，而非通用应用代码漏洞扫描。
secret-scanning
用于配置和管理 GitHub 密钥扫描（secret scanning）的技能指南，涵盖推送保护、自定义模式、告警处置，以及在 AI 编码代理中提交前的密钥扫描。
security-review
security-review 是一个 AI 驱动的代码库安全扫描技能，像安全研究员一样推理代码，追踪数据流、理解组件交互，发现模式匹配工具遗漏的漏洞，并给出分级发现与修复补丁建议。
threat-model-analyst
面向代码仓库与系统的 STRIDE-A 威胁建模技能，支持单次完整分析与基于既有报告的增量更新，输出架构图、STRIDE-A 分析、优先级安全发现等文件。
aws-sdk-java-v2-kms
提供基于 AWS SDK for Java 2.x 的 AWS KMS 使用模式，涵盖密钥管理、加解密、信封加密、数字签名与 Spring Boot 集成，适合在 Java 应用中创建管理加密密钥、加密解密数据、生成数据密钥及做非对称签名验签时参考。
better-auth
该技能提供 Better Auth 的集成模式，用于 NestJS 后端配合 Drizzle ORM 与 PostgreSQL，以及 Next.js App Router 前端。涵盖社交登录、2FA/TOTP、Passkey、魔法链接、组织与 SSO 等配置，并给出四阶段搭建流程与代码示例，适合需要在 TypeScript 项目中接入认证的开发者。
spring-boot-security-jwt
为 Spring Boot 3.5.x 提供 JWT 认证与授权实现模式，基于 Spring Security 6.x 与 JJWT 0.12.6，涵盖令牌生成、Bearer 与 HttpOnly Cookie 认证、刷新令牌轮换、RBAC/ABAC 及 OAuth2 集成。
typescript-security-review
面向 TypeScript/Node.js 应用的安全审查技能，依据 OWASP Top 10 与框架实践评估代码，覆盖 XSS、注入、CSRF、JWT/OAuth2 缺陷、依赖 CVE、密钥管理、安全头与输入校验，按严重级别输出发现与修复建议，并可委派给 typescript-security-expert 智能体深入分析。
unit-test-security-authorization
该技能提供单元测试 Spring Security 授权逻辑的模式，覆盖 @PreAuthorize、@Secured、@RolesAllowed 及自定义权限评估器，验证基于角色的访问控制与拒绝访问场景，无需完整 Spring Security 上下文即可快速测试。
gmgn-contract-dd
gmgn-contract-dd 是 GMGN 技能集中的合约尽调评分工具，针对单个代币合约地址输出 0-100 的综合评分，综合合约安全性、持币结构与价格走势三个维度。它通过 gmgn-cli 的三次只读调用（token info、token security、market kline）以及必要的列表查询，生成可审计的评分结果。该技能不交易、不需要私钥，仅使用 API Key 认证。评分受合约安全上限约束，并包含对数据缺失、字段单位（小数比例而非百分比）以及响应文本被攻击者控制等情况的明确处理规则。
gmgn-token
gmgn-token 是 GMGN 提供的加密货币与 meme 代币链上调研技能，基于 gmgn-cli 命令行工具，通过代币合约地址查询实时价格、市值、流动性、持仓者与交易者排行、聪明钱与 KOL 仓位、安全指标等数据，支持 sol、bsc、base、eth 等多条链。
auth-setup
用于安装 Goldsky CLI、完成账号登录并配置项目的技能，覆盖 macOS、Linux 与 WSL 环境，可检查登录状态、列出与创建项目、邀请团队成员，并给出后续流水线与子图相关技能建议。
mantis-chain
mantis-chain 是 Google mantis 安全分析流水线中的漏洞链构建技能，命令为 /mantis-chain。它读取已通过验证的安全发现与知识库原语，分析各发现的前置/后置条件，判断多个低危漏洞能否串联成更高影响的利用链，并生成新的链式发现 JSON。
mantis-dedupe
mantis-dedupe 是 google/mantis 中的安全发现去重技能（命令 /mantis-dedupe），用于把研究者生成的原始安全发现聚类合并，消除重复报告，并在快照门控下区分重复与可能的回归。
mantis-history
mantis-history 是 google/mantis 中的历史漏洞提取技能，通过分析仓库版本控制历史，提取过往漏洞、安全修复与补丁，生成结构化历史学习库，供后续技能使用。
mantis-patch
Mantis 安全补丁生成技能（/mantis-patch），为已复现的安全缺陷生成最小化修复，通过事务性隔离（影子目录或文件备份）应用并验证补丁，再写入长期记忆。适用于安全修复流程。
mantis-plan
mantis-plan 是 Google mantis 项目中的安全评审规划技能，命令为 /mantis-plan。它依据当前威胁模型与历史知识，分析代码结构、目录元数据与历史记录，生成针对性的防御性安全评审计划，写入 workspace/plan.json。