convex-security-check
convex-security-check 是一个面向 AI 智能体的可安装技能，用于对 Convex 后端做约十分钟的安全快速检查，发现应设为 internal 的公开函数、缺失的鉴权、未校验参数、信任客户端 ID 而未做归属校验、代码中的密钥等问题，适合合并 PR 前或新增公开函数后使用。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-29 00:09
安全与审计
7,634 个结果
anti-reversing-techniques
面向授权安全分析的技能，帮助识别软件中的反逆向、混淆与保护机制，并给出绕过策略、分析报告与脚本产物。仅限恶意软件分析、授权渗透测试、CTF、学术研究等合法场景使用。
k8s-security-policies
针对 Kubernetes 集群安全策略的技能，涵盖 NetworkPolicy、PodSecurityPolicy、RBAC 与 Pod Security Standards，用于网络分段、最小权限访问与合规加固。
memory-forensics
面向事件响应与恶意软件分析的内存取证技能，介绍使用 Volatility 3 及配套工具获取与分析内存转储，涵盖进程、网络连接、代码注入、凭据、YARA 扫描等取证流程。
mtls-configuration
面向零信任服务间通信的 mTLS 配置技能，涵盖证书体系、证书轮换、握手排错与合规场景，并提供具体模板与示例的参考资料。
pci-compliance
PCI Compliance 是一个专注于 PCI DSS（支付卡行业数据安全标准）合规的技能，用于安全处理支付卡数据和支付系统。它适用于构建支付处理系统、处理信用卡信息、实现安全支付流程、开展 PCI 合规审计、缩减 PCI 合规范围、实现令牌化与加密，以及准备 PCI DSS 评估等场景。该技能围绕 PCI DSS 的 12 项核心要求组织内容，涵盖构建与维护安全网络、保护持卡人数据、维护漏洞管理、实施强访问控制、监控与测试网络、维护信息安全政策六大类，并说明了四个合规级别（Level 1 至 Level 4）的交易量划分标准。在数据层面，明确列出禁止存储的数据（磁道数据、CVV、PIN）与可加密存储的数据（PAN、持卡人姓名、有效期、服务代码），并提供日志脱敏和禁止存储校验的代码示例。在令牌化方面，展示使用 Stripe 在客户端创建令牌、服务端仅凭令牌扣款、以及将支付方式以令牌形式存储的做法，同时给出自定义令牌保险库的加密实现。加密方面涵盖静态数据加密（AES-256-GCM）和传输中数据加密（TLS 1.2 及以上、安全 Cookie 配置）。更详细的模板与示例位于 references/details.md。
protect-mcp-setup
protect-mcp 是为 Claude Code 工具调用提供密码学治理的插件，通过 Cedar 策略引擎在工具执行前进行授权判定，并用 Ed25519 对每次调用生成可离线验证的签名回执。Cedar 的 deny 结果为权威判定，会直接阻断工具调用；PostToolUse 钩子则记录工具名称并追加到 receipts.jsonl，形成防篡改的审计链。安装方式为 claude plugin install wshobson/agents/protect-mcp，需手动创建 protect.cedar 策略文件和签名密钥。支持通过 npx @veritasacta/verify 离线校验回执，无需服务器、账号或信任运营方。适用于金融、医疗、受监管研究等需要第三方可验证证据链的合规场景。0.7.4 版本不记录工具输入输出，回执间也无前向链接。
protocol-reverse-engineering
网络协议逆向工程技能，涵盖数据包抓取、协议解析与自定义协议文档编写，适用于安全研究、互操作性与调试场景。资料来自公开技能页面，具体功能与限制暂未提供完整说明。
sast-configuration
配置 Semgrep、SonarQube、CodeQL 等静态应用安全测试（SAST）工具的技能，涵盖 CI/CD 集成、自定义安全规则编写、质量门禁与合规策略设置，以及减少误报和优化扫描性能，适用于多语言代码的自动化漏洞检测。
secrets-management
该技能用于在 CI/CD 流水线中实现安全的密钥管理，避免硬编码敏感信息。支持 HashiCorp Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager 等工具，覆盖存储 API 密钥与凭据、管理数据库密码、处理 TLS 证书、自动轮换密钥以及最小权限访问等场景，并提供 GitHub Actions、GitLab CI、Terraform、Kubernetes 等平台的集成示例。
security-requirement-extraction
该技能用于从威胁模型和业务上下文中推导安全需求，适用于将威胁转化为可执行需求、编写安全用户故事、创建安全测试用例、构建安全验收标准、映射合规需求以及编写安全架构文档等场景。其核心思路是建立业务需求、安全需求与技术控制之间的映射关系，例如从“保护客户数据”推导出“静态加密 PII”，再落到“使用带 KMS 密钥轮换的 AES-256 加密”。技能将安全需求划分为功能型、非功能型和约束型三类，并强调需求应具备可追溯性、可测试性、优先级和风险等级等属性。最佳实践方面，建议每条需求都追溯到威胁、保持具体、包含验收标准、尽早映射合规框架并定期评审；同时避免泛泛而谈、省略理由、忽略优先级、忽视可测试性或孤立工作。完整模板库位于 references/details.md 中。
solidity-security
面向 Solidity 智能合约的安全技能，用于编写与审计合约、防范重入、溢出和访问控制等常见漏洞，并实现安全的 Solidity 模式。适用于开发 DeFi 协议、准备专业审计等场景。
stride-analysis-patterns
基于STRIDE方法系统性识别威胁的技能，用于系统安全分析、威胁建模会议与安全文档编写，覆盖欺骗、篡改、抵赖、信息泄露、拒绝服务与权限提升六类威胁。
threat-mitigation-mapping
将已识别的威胁映射到相应安全控制与缓解措施，用于安全投资优先级排序、修复计划制定和控制覆盖验证。
active-directory-certificate-services
面向 Active Directory 证书服务（AD CS）的攻击手册，覆盖 ESC1–ESC13 模板滥用、证书持久化、NTLM 中继到注册端点及 CA 错误配置，可用于靶场或授权测试中的权限提升与凭据获取。
ai-ml-security
面向 AI/ML 安全评估的攻击与防御知识手册，覆盖模型供应链攻击（pickle 反序列化 RCE、Hugging Face 投毒）、对抗样本、数据投毒、模型窃取、隐私攻击、LLM 与智能体安全等主题，并给出工具与决策流程。
api-auth-and-jwt-abuse
面向 API 认证与 JWT 滥用的测试手册，适用于测试 bearer token、API key、声明信任、请求头伪造、速率限制与 API 认证边界等场景，聚焦令牌信任边界、声明滥用、请求头欺骗与限流绕过。
api-authorization-and-bola
API 授权与 BOLA 测试手册，适用于 API 暴露对象标识、嵌套资源、隐藏可写字段或函数级授权薄弱的场景，提供对象访问、功能访问与批量赋值（Mass Assignment）的授权测试路径。
api-recon-and-docs
面向 REST、移动端与 GraphQL API 的侦察与文档审查手册，用于在利用前枚举端点、模式、版本与隐藏暴露面，适用于 API 渗透测试的初始阶段。
api-sec
API 安全测试的路由入口技能，用于在深入具体议题前判断 API 问题属于侦察/文档、对象授权、令牌信任还是 GraphQL/隐藏参数方向，并路由到相应专题技能。
arbitrary-write-to-rce
该技能是一条将任意写原语转化为代码执行的专家级攻击路线图，按 glibc 版本组织 GOT、__malloc_hook、__free_hook、_IO_FILE vtable、__exit_funcs、TLS_dtor_list、_dl_fini、modprobe_path、.fini_array、C++ vtable、setcontext 等覆写目标，并给出决策树。
auth-sec
面向认证与授权测试的技能路由条目，用于判断问题属于登录机制、对象级授权、浏览器信任边界还是OAuth/JWT/SAML等身份协议，可按技能地图深入具体子主题。
business-logic-vuln
面向业务逻辑测试的 P1 入口路由器，用于处理流程滥用、竞态条件、定价缺陷与多步状态攻击等场景。
business-logic-vulnerabilities
一个面向业务逻辑漏洞的攻防剧本技能，聚焦扫描器难以发现的竞态条件、价格篡改、优惠券滥用、流程绕过与状态机攻击，适合漏洞赏金与人工推理场景。