SuperAPI AI 工具集找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-18 00:12
7,211 个结果
该技能用于审计 Xcode 项目的安全构建设置与授权（entitlements），并逐步启用面向安全的编译器警告、静态分析器检查器以及 Enhanced Security 强化功能。它通过 Xcode 专用工具（XcodeGlob、XcodeGrep、XcodeRead、XcodeLS、XcodeUpdate、AddEntitlement、XcodeListTargets 等）读取项目、构建审计表，并生成可编辑的计划文件供用户审阅后再执行变更。适用于需要评估和加固 iOS/macOS 等 Xcode 项目安全配置的开发者。
CISO Advisor 是面向成长期公司的安全领导力技能，用于搭建安全体系、选择合规框架（SOC 2、ISO 27001、HIPAA、GDPR）、量化风险与编排安全投入。它以 ALE（SLE x ARO）等财务口径衡量风险，提供风险登记表模板、风险优先级决策树、合规路线图与框架对比、零信任成熟度模型、纵深防御分层与投资优先级、事件响应分级与工作流、监管上报时限、供应商分级评估清单、安全指标看板、预算占收比与 ROI 公式，以及 CISO 与 CEO/CFO/CTO 等高管协作方式。内置 security_posture_scorer.py 与 risk_register_manager.py 脚本，可基于 NIST CSF 2.0 与 CISA 零信任成熟度模型输出可上董事会的安全报告。适用于安全预算论证、合规框架选型、事件响应准备、供应商评估与董事会汇报等场景；具体价格、许可与支持方式资料未提供。
该技能提供 Bun 运行时应用的安全审计模式，覆盖 Shell 注入、SQL 注入、服务器安全以及 Bun 特有的漏洞。它强调 Bun 的 `$` 与 `sql` 标签模板默认转义，但以函数形式调用（如 `$()` 或 `sql()`）或在字符串中插值会绕过保护，导致命令注入或 SQL 注入。文档还讨论参数注入（以 `-` 开头的用户输入）、`bun:sqlite` 的参数化查询、`Bun.serve()` 的请求校验、请求体大小限制、CORS 配置、主机绑定、`Bun.spawn()` 命令注入、`Bun.file()` 与 `Bun.write()` 的路径穿越、`Bun.password` 的用法、环境变量与 `bunfig.toml` 配置、WebSocket 认证等。附带常见漏洞严重性表、快速审计命令和加固检查清单，适用于使用 Bun 构建应用时的安全审查。
Tinfoil Security 是一款面向 SaaS 公司的 Web 应用安全工具，帮助开发者和安全团队自动发现并修复 Web 应用中的安全漏洞，实现自动化渗透测试与漏洞扫描。本技能通过 Membrane CLI 与 Tinfoil Security 集成，可管理数据、记录并自动化工作流，适用于需要与 Tinfoil Security 数据交互的场景。Membrane 自动处理认证与凭证刷新，用户无需手动管理 API 密钥。
该技能介绍使用 BloodHound 与 SharpHound 对 Active Directory 进行授权安全测试：采集 AD 对象、ACL、会话与组成员关系，用图分析可视化从已控账号到 Domain Admin 的攻击路径，识别 ACL 配置错误、Kerberos 委派与可 Kerberoast/AS-REP 账号，并规划利用链。仅限获得书面授权的测试。
该技能用于从 Windows 内存转储中提取缓存凭据、密码哈希、Kerberos 票据和身份验证令牌，主要面向事件响应与凭据泄露范围评估。它结合 Volatility 3、Mimikatz 和 pypykatz 等工具，通过 windows.hashdump、windows.lsadump、windows.cachedump 等插件以及 LSASS 进程内存转储分析，恢复本地与域账户的 NTLM 哈希、Kerberos TGT/TGS 票据、WDigest 明文密码、DPAPI 主密钥、LSA 机密和 DCC2 缓存凭据，并可搜索进程内存中的云凭据、API 密钥和会话令牌。使用前需要内存转储文件、Volatility 3 符号表、相关工具及合法授权。
面向 macOS 系统的安全与隐私加固技能，基于 drduh/macOS-Security-and-Privacy-Guide，提供企业级安全实践与隐私配置指导。内容涵盖威胁建模、系统安装、账户权限分离、固件密码、FileVault 加密、锁定模式、应用层防火墙与 PF 包过滤、服务精简、DNS 加密（DNSCrypt 与配置描述文件）、hosts 屏蔽、证书管理、Firefox/Safari 浏览器加固以及 WireGuard VPN 配置等。目标平台为 Apple 芯片 Mac，运行当前受支持的 macOS 版本；资料指出 Intel Mac 存在未修补硬件漏洞，不推荐使用。
Splunk 相关漏洞修复与合规就绪评估技能：依据公开公告、CVE、扫描器或软件包发现、修复与例外证据，判断环境暴露状态、制定修复或例外计划、给出合规就绪结论，全程只读、不修改系统或合规状态。
查询 Sumsub 在指定国家提供的数据库（check-sources）核验源、各源在当前租户下的启用状态，以及如何接入验证等级。仅支持 KYC（个人），不支持 KYB 企业源；需沙箱 App Token，不可用生产令牌。
Chanjing 平台的 OAuth 认证与凭据管理技能，用于检查登录状态、处理登录流程、管理访问令牌，以及为所有 Chanjing 平台功能（数字人、TTS、背景音乐、音效）提供集中式认证支持。该技能不执行实际的 Chanjing API 调用，而是负责认证环节；具体功能调用需委托给 chanjing-digital-human 等特定功能技能。支持交互式登录、Studio 登录和 CI/CD 无头环境三种认证方式，并提供令牌存储、自动刷新、401 重试及故障排查能力。使用前需注意保护令牌安全，不得将令牌写入日志或提交到 Git。
该技能名为 Elixir Security Review，来源于 existential-birds/beagle，用于审查 Elixir 代码中的安全漏洞。其关注范围包括代码注入、原子耗尽（atom exhaustion）、密钥处理、进程暴露等常见风险。技能提供了一份快速参考表，将不同问题类型映射到对应的参考文档，例如 Code.eval_string 与 binary_to_term 对应代码注入，String.to_atom 对应原子耗尽，配置与环境变量对应密钥，ETS 可见性与进程字典对应进程暴露。同时还给出了审查清单，分为关键（阻断合并）与主要两类，以及配置检查项。此外，技能明确列出了不应误报的合法模式，并针对 String.to_atom、binary_to_term、ETS :public 等给出上下文相关规则。报告前需满足若干硬性门槛，包括定位工件、完整阅读作用域、外部数据声明与流程验证。
该技能用于在 Google Cloud API Gateway 后端服务上配置客户端认证、网关到后端的认证以及按项目限流（配额），支持 OpenAPI 2.0 与 OpenAPI 3.0.x 配置，并涵盖启用 Model Context Protocol（MCP，公开预览）的网关。它提供决策矩阵、零停机执行流程、配额指标校验脚本与部署前检查清单，帮助在保护后端的同时实现按消费者项目的速率限制。
DefectDojo 是开源 DevSecOps、ASPM 与漏洞管理平台，用于编排安全测试、漏洞跟踪、去重、修复与报告。本技能提供 12 个 MCP 工具，供 Claude Code 直接查询与操作 DefectDojo API。
aif-security-checklist 是一个基于 OWASP Top 10（2021）与行业最佳实践的安全审计清单技能，用于对项目进行系统化安全检查。它覆盖认证与会话、SQL/NoSQL/命令注入、XSS、CSRF、密钥与凭据管理、API 安全、基础设施安全、LLM 提示注入、竞态条件与 TOCTOU 等主题。技能支持完整审计或按类别审计（如 auth、injection、xss、csrf、secrets、api、infra、prompt-injection、race-condition），并可通过 ignore 子命令将特定检查项加入忽略列表，记录原因、日期与作者，审计时单独展示。它读取 .ai-factory/config.yaml 解析路径与语言配置，支持多语言输出，并遵循项目级 skill-context 规则。审计结果以人类可读报告呈现，并附带机器可读的 aif-gate-result JSON 门禁结果，状态分为 pass、warn、fail。
该技能用于在 Foundry 项目中对 Solidity 智能合约进行部署前安全审计，采用纵深防御策略，组合静态分析（Slither、Aderyn）、符号执行（Mythril）、基于属性的测试（模糊测试与不变量测试）以及人工审查与密钥卫生检查。它面向合约开发者，在部署到测试网或主网前运行，通过多项独立技术互补发现重入、访问控制缺陷、预言机操纵、算术问题等常见漏洞。审计结果以 JSON 报告输出，包含 SWC 标识、严重性、工具来源、受影响合约/函数/行号及修复建议，并给出 PASS/FAIL 部署门禁：任何高危/严重静态发现、测试失败、密钥泄露或价值转移代码覆盖率不足均判定为 FAIL。
该技能依据 NIST SP 800-30 Rev 1 方法论开展可辩护的网络安全风险评估。它适用于需要真实风险分析（而非框架成熟度评分）的场景，也用于满足 NIST CSF、ISO 27001、NIST RMF、SOC 2、PCI DSS、HIPAA 等框架对文档化风险分析的强制输入要求。技能覆盖准备评估、识别威胁源与威胁事件、识别漏洞与易感条件、判定可能性与影响、确定风险、沟通结果、维护评估以及推动处置决策的完整流程，并输出风险登记册与高管简报。
该技能用于在获得授权的移动安全测试中绕过 Android 与 iOS 应用的 SSL/TLS 证书固定（certificate pinning），以便通过代理拦截 HTTPS 流量，评估固定实现强度与网络安全性。
该技能用于将已识别的威胁映射到相应的安全控制与缓解措施，帮助安全团队把威胁与防御手段对应起来。适用于安全投资优先级排序、制定修复路线图、验证控制覆盖情况、设计纵深防御、安全架构评审以及风险处置规划等场景。技能会先澄清目标、约束与所需输入，再应用相关最佳实践并验证结果，最后提供可执行的步骤与验证方法；如需详细示例，可查阅 resources/implementation-playbook.md。
Headless Ghidra 函数替换流程的 P4 阶段技能：在 P3 之后对已批准的批次函数应用元数据、执行反编译并记录逐函数替换产物，全部通过 ghidra-agent-cli 完成。
Salesforce 安全审计工具，用于审查 Apex 代码中的 CRUD/FLS 违规、共享规则合规性、SOQL 注入风险与 PII 泄露，这些问题常导致 AppExchange 安全审查失败。该工具以安全专家的角色扫描整个代码库，可检测缺少 CRUD/FLS 强制检查的 DML 操作、缺少 WITH USER_MODE 的 SOQL 查询、未声明 with sharing 的类、动态 SOQL 中的字符串拼接注入、调试日志中的敏感数据、硬编码凭据、Visualforce 中的 XSS 等漏洞。审计流程基于 Glob 与 Grep 模式逐文件检查，并按照严重级别（Critical/High/Medium/Low）分类输出报告，包含文件路径、行号、问题说明、推荐修复方案及代码片段，最后给出是否适合通过 AppExchange 审查的结论。使用方式为针对 force-app/**/*.cls 等路径进行扫描，运行安全扫描脚本。限制方面，资料未提供价格、平台支持范围、安装方式及具体运行环境的更多细节。
该技能用于在获得授权的安全评估中识别并利用 IPv6 特有漏洞，包括 SLAAC 欺骗、路由器通告（RA）泛洪、IPv6 隧道（6to4、Teredo、ISATAP）绕过等。它提供从 IPv6 主机枚举、mitm6 中间人攻击、RA 伪造、邻居发现协议（NDP）欺骗到隧道检测与防火墙规则测试的完整工作流，并附带 Scapy 数据包构造示例与评估报告模板。适用于双栈网络一致性测试、未管理 IPv6 风险演示及 IPv6 感知防火墙/IDS 检测能力验证。
用于自动化 SOC 2 Type II 审计准备的技能，涵盖对照 AICPA 信任服务准则（CC1-CC9）的差距评估、从云服务商收集证据，以及持续合规监控。
该技能介绍如何用 Frida 在授权测试中观测并提取运行时数据，如 HTTP、请求头、令牌、JSON、加密值、偏好设置、SQLite、文件、内存和字节数组，强调仅用于获授权系统并注意敏感信息脱敏。
在运行公开、生成或改动较多的 Frida 脚本前进行审查、加固与精简的技能，覆盖 CodeShare 片段、通用绕过、宽泛 hook、原生指针代码、Java 与 ObjC hook。