aikido-security
用于将 Aikido Security 漏洞管理平台接入 Membrane CLI 的集成技能，可查询与操作 Finding、Finding Note、Repository、User 等数据并自动化工作流，身份认证与凭据刷新由 Membrane 自动处理。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-19 00:11
安全与审计
7,225 个结果
nightfallai
Nightfall.ai 集成技能，通过 Membrane CLI 连接 Nightfall.ai 数据丢失防护（DLP）平台，发现、分类并保护云应用和数据存储中的敏感数据。可用于管理数据、记录并自动化工作流。
implementing-cloud-vulnerability-posture-management
该技能介绍多云云安全态势管理（CSPM）的实现方法，覆盖 AWS Security Hub、Azure Defender for Cloud 以及开源工具 Prowler 和 ScoutSuite，用于持续检测 IAM 过度授权、存储桶暴露、数据未加密、网络控制缺失等云原生配置风险与合规问题。
zklogin
zkLogin 是 Sui 上的免钱包登录原语，让用户用 Google、Facebook、Apple 等 OAuth 凭证登录并交易，通过零知识证明把 OAuth 身份关联到 Sui 地址而不在链上暴露身份标识。本技能提供架构、集成与安全参考。
auditing-pre-release-security
该技能用于在两个 Git 引用（标签/分支/提交 SHA）之间审计安全与供应链风险，覆盖源码差异、依赖变更、node_modules 新包行为及 CI/CD 配置，输出中文 Markdown 报告。
azure-keyvault-secrets-ts
面向 TypeScript/Node.js 的 Azure Key Vault 使用技能，基于 @azure/keyvault-secrets 与 @azure/keyvault-keys SDK，用于存取应用密钥与配置、创建与管理密钥，并执行加密、解密、签名、验签、密钥包装和备份恢复等操作。
azure-security-keyvault-secrets-java
Azure Key Vault Secrets Java SDK 用于密钥管理，可在 Java 应用中安全存储、获取和管理密码、API 密钥、连接字符串等敏感信息，支持同步与异步客户端、版本管理、软删除与恢复、备份还原及属性更新。
sast-hardcodedsecrets
面向公开可访问代码的硬编码敏感信息检测技能，重点识别前端 JavaScript、移动应用等攻击者可直接提取的 API 密钥、访问令牌、私钥、密码等凭据，并区分真实凭据与占位符、公钥等误报。
sast-jwt
sast-jwt 是一个针对代码库的 JWT（JSON Web Token）不安全实现检测技能，采用两阶段子代理方式：先梳理令牌签发、验证与密钥配置的生命周期，再分析各验证点的可利用漏洞，结果写入 sast/ 目录下的报告文件。
Security Scanning
Security Scanning 是一个用于代码库安全分析的技能，可检测硬编码密钥、OWASP 常见漏洞、依赖项已知 CVE 及不安全编码模式，并按严重级别输出发现结果与修复建议。
ssrf
用于检查服务端请求伪造（SSRF）漏洞的技能，可分析源码中来自用户输入的 URL 抓取、缺失校验、内网访问、重定向与云元数据端点访问等问题，支持 semgrep、bandit、gosec 扫描与手工分析。
awesome-security-audit
面向代码与配置的只读安全审计技能：检查注入、密钥、认证授权、依赖 CVE、CI/CD 暴露与加密误用，输出带 CWE 映射的修复建议，但不修改代码。适用于发布前审查、新增认证/支付/敏感数据处理后或引入新依赖后的漏洞排查。
bigid
BigID 数据智能平台的集成技能，通过 Membrane CLI 连接 BigID，用于发现、管理、保护敏感与个人数据，并可管理记录与自动化工作流。适用于隐私、安全与数据治理场景。
passcreator
Passcreator 集成技能，通过 Membrane CLI 连接 Passcreator 数据，可管理用户、组织等资源。适用于需要与 Passcreator 交互的场景。
clerk
Clerk 认证技能路由，用于在项目中添加认证、配置 Clerk、自定义登录流程，以及 Swift 原生 iOS、原生 Android 等场景。按任务分发到对应技能，并依据 package.json 中的 SDK 版本选择 Core 2 或当前版本的写法。
two-factor-authentication-best-practices
基于 Better Auth 的双因素认证技能，介绍如何通过 twoFactor 插件配置 TOTP 验证器、邮件或短信 OTP、备份码与可信设备，并实现登录时的 2FA 验证流程。
performing-log-analysis-for-forensic-investigation
该技能用于取证调查中的日志分析：收集、解析并关联系统、应用与安全日志，重建事件时间线，识别初始访问、横向移动与数据外泄等痕迹。
signing-entitlements
用于排查 macOS 代码签名、entitlements 与 Gatekeeper 问题的技能，适用于诊断签名、沙盒、强化运行时或信任校验失败。
prowler-attack-paths-query
Prowler Attack Paths 的 openCypher 查询编写技能，以 Cartography 图模型为准，帮助编写只读查询以检测云环境中的权限提升链、网络暴露等图结构安全风险。
fastcopy-file-transfer-warning
识别并警示疑似恶意文件传输工具仓库的安全技能，依据盗版破解、无源码、外链下载、虚假指标等红旗特征判断风险。
java-sql-audit
Java Web 源码 SQL 注入审计工具，从源码中定位所有 SQL 执行入口并检测注入漏洞。支持 JDBC、MyBatis、Hibernate 等框架，检查参数化查询与动态 SQL 拼接，需配合路由梳理与调用链追踪技能使用。
sast-ssti
该技能用于在代码库中检测服务端模板注入（SSTI）漏洞，采用三阶段子代理流程。第一阶段为侦察，找出所有将动态字符串（而非静态模板文件）作为模板进行渲染、编译或求值的位置，覆盖 Jinja2/Flask、EJS、Nunjucks、Handlebars、Pug、Lodash、ERB、Liquid、FreeMarker、Velocity、StringTemplate、Thymeleaf、Twig、Smarty、Blade、Go text/template、Scriban 等多种引擎与框架。第二阶段为批量验证，按每批最多 3 个候选渲染点在并行子代理中追踪用户输入是否到达模板参数。第三阶段为合并，将各批次结果汇总为最终报告。执行前需要 sast/architecture.md 存在，否则需先运行分析技能。技能明确区分 SSTI 与 XSS 及安全模式，输出写入 sast/ssti-recon.md、sast/ssti-results.md 等文件。
macos-security
macos-security 是一个面向 AI 智能体的 macOS 安全技能，用于管理 XProtect 恶意软件检测、MRT 威胁清除、TCC 隐私权限、隔离属性、代码签名验证与安全审计，帮助加固 macOS 系统并排查未授权访问或未签名二进制等问题。
dpia-assessment
依据 GDPR 第 35 条的数据保护影响评估（DPIA）工具技能，提供阈值判定、风险登记表与 EDPB 九项标准评分，并给出文档化流程。资料标注为实验性、仅供教育参考，不构成法律建议。