implementing-zero-knowledge-proof-for-authentication
该技能实现 Schnorr 身份识别协议与简化版零知识密码证明（ZKPP），基于离散对数问题，让证明者在不泄露密码或私钥的前提下完成认证，服务器始终无法获知用户秘密。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-20 00:13
安全与审计
7,234 个结果
gemini-cli-security
基于 Gemini CLI 安全扩展分析方法的代码漏洞与依赖扫描技能，可检测硬编码密钥、注入攻击、认证缺陷、数据处理问题及 LLM 安全风险，并集成 OSV.dev 查询依赖 CVE。
medusa-security
Medusa Security 是一个 AI 优先的安全扫描技能，集成 Medusa 的 76 个扫描器与 3000+ 检测模式，覆盖 AI/ML、智能体、MCP、RAG、提示注入及传统 SAST 漏洞，支持 SARIF/JSON 输出、OWASP 映射与 CI/CD 集成。
computer
Computer 是一个连接器技能，用于通过带认证的 ngrok 隧道，把本地服务暴露给远程沙箱。适用于用户提到 computer use、tunnel、ngrok 等场景。配置依赖两个环境变量：COMPUTER_CONNECTOR_BRIDGE_TOKEN 与 COMPUTER_CONNECTOR_DOMAIN。
smart-contract-auditor
面向智能合约的安全审计技能，定位为资深安全研究员，专注查找重入、访问控制、预言机操纵、闪电贷、签名重放、整数溢出、代理存储冲突、MEV、跨链桥与治理等漏洞，并结合静态分析、模糊测试与形式化验证工具开展工作。
iso-27001-evidence-collection
用于为 ISO 27001:2022 与 SOC 2 审计系统化收集、整理并校验证据的技能。以 API 导出优先，提供主流云平台 CLI 命令，按控制项归类证据并在提交审计前检查完整性与时效性。
nemo-guardrails
NeMo Guardrails 是 NVIDIA 推出的面向 LLM 应用的运行时安全框架，可为大模型应用添加可编程的安全护栏。它支持越狱检测、输入/输出校验、事实核查、幻觉检测、PII 脱敏、毒性检测等机制，通过 Colang DSL 定义安全流程，在请求到达模型前后进行拦截与过滤。安装方式为 pip install nemoguardrails，可集成 LlamaGuard、Presidio、ActiveFence 等组件，适用于生产环境的 LLM 应用安全防护。
qms-audit-expert
qms-audit-expert 是一个面向医疗器械组织的质量管理体系（QMS）审计专家技能，专注于 ISO 13485 内部与外部审计。它提供基于风险的审计计划、审计执行方法、不符合项分类与 CAPA 集成、审核员能力管理、外部审计准备与协调，以及设计控制、风险管理、软件、上市后监督、供应商等专项审计支持。技能附带审计排程优化、审计准备清单、不符合项跟踪、审计绩效分析等脚本，以及 ISO 13485 审计指南、流程审计程序、监管检查指南、认证审核指南、审核员能力框架等参考文档和模板资源。
review-hog-perspective-contracts-security
PostHog Review 的“契约与安全”审查视角技能，用于检查代码变更是否安全并保持兼容性，聚焦 API 契约与破坏性变更、安全漏洞、输入校验及 schema/接口一致性。
review-hog-validation-criteria
PostHog Review 的验证标准技能，用于对 PR 审查中已标记的候选问题做最终取舍判断，决定是否值得反馈给作者。强调精确优先于召回，只保留真实影响用户或代码库的正确性、安全、数据丢失、契约破坏、性能与可靠性问题。
broken-access-control
该技能面向 OWASP Top 10 中 A01:2025「失效的访问控制」（Broken Access Control）的安全测试，连续两个周期位列 OWASP 风险第一。资料称其在 3.74% 的应用中出现，超过 180 万次发生、32,654 个 CVE。访问控制用于确保用户不能越权操作，失效会导致未授权数据泄露、篡改或破坏。技能覆盖缺失授权、IDOR、CORS 配置错误、SSRF、CSRF、权限提升、JWT/会话操纵等子类，并给出针对 FastAPI 与 Flask 应用的审计流程：识别路由、检查授权守卫、IDOR 所有权校验、CORS 白名单、SSRF 私网校验、CSRF 防护、JWT 与会话安全，以及自动化扫描工具与关键 CWE 参考。
email-forensics
Email Forensics 是一个面向电子邮件取证调查的 AI 技能，用于分析电子邮件消息、邮箱归档与邮件元数据。它适用于网络钓鱼攻击、商务电子邮件欺诈（BEC）、内部威胁等场景的调查，能够从邮件数据中提取具有取证价值的工件。该技能提供邮箱解析（支持 PST、OST、MBOX、EML、MSG 文件）、邮件头深度分析与路由追踪、附件提取与哈希计算、钓鱼检测、发件人伪造检测、链接分析、时间线生成、邮件会话线程重建、元数据提取以及 SPF、DKIM、DMARC 认证结果分析等能力。使用方式为通过 Python 模块导入相应类（如 EmailAnalyzer、MailboxParser、PhishingDetector 等），对指定文件或邮箱执行解析、分析和报告导出。具体收费、价格、平台环境与版本要求等事实暂未提供。
skill-audit
Skill Audit 是一个面向 AI 智能体技能（skill）的安装前安全扫描框架。据资料，14,706 个 OpenClaw 技能中有 7.5% 被确认恶意，该技能提供结构化的 6 阶段安全审查，用于在安装任何第三方技能前进行审计。6 个阶段依次为：表面扫描（检测指令覆盖、外部抓取、shell 管道、编码载荷、凭据读取等模式）、脚本检查（阅读所有引用脚本，识别隐藏命令、混淆代码、外部 URL）、权限审计（核对文件/网络/命令执行权限是否与声称功能匹配）、社会工程检查（识别紧迫性语言、权威声明、注释中的隐藏指令）、仓库情报（评估作者账号年龄与活跃度、其他仓库、Star 历史）、以及给出风险评分与建议的裁决阶段。风险评分 0-39 为低风险，40-69 为中风险需谨慎，70-100 为高风险不建议安装。该技能是审查框架，并非沙箱或恶意软件扫描器，可能遗漏新型混淆、私有载荷或仓库内容之外的风险，需结合维护者判断、固定依赖、最小权限运行时控制和环境验证使用。
auth-module-architecture
该技能用于处理 BK-CI 的 Auth 模块架构相关工作，重点面向权限平台本身的实现与协作，而非单次资源接入或授权操作。它覆盖 RBAC 权限校验与资源授权逻辑、用户组与成员及资源权限关系、IAM 集成与回调同步、权限迁移、分级管理员以及 OAuth2 认证等场景，并提供模块结构、RBAC 授权链路、IAM/OAuth2 排查等参考文档指引。该技能不适用于仅新增权限资源类型或动作模型、仅进行用户授权/加成员/查权限、仅修改其他业务模块权限调用点、或处理普通登录页面与前端鉴权展示等情形。技能强调将 IAM 集成与本地 RBAC 数据视为完整权限链、优先考虑兼容性、缓存刷新与历史数据，并提示避免混淆权限模型变更与平台实现、忽视用户组/资源/同步链路等陷阱。
hipaa-compliance
该技能为在 AWS 上构建 HIPAA 合规医疗软件的工程师与创始人提供技术保障与架构模式指导。它以“资深医疗软件架构师”角色介入，要求在代码触及受保护健康信息（PHI）时主动识别 PHI 数据元素、给出合规架构、编写可投产代码并提前告警违规风险。资料涵盖 18 项 PHI 标识、AWS 合规服务清单、BAA 签署要求、KMS/RDS/S3 加密配置、审计日志、最小必要访问控制、会话与 MFA 配置、FHIR + OAuth 2.0 API 设计、去标识化开发环境以及代码审查与上线检查清单。适用于医疗 SaaS 开发、PHI 处理等场景；具体收费与价格资料未提供。
analyzing-dotnet-assemblies
通过 dnSpyEx、ILSpy 和 de4dot 逆向分析 .NET 程序集与可执行文件，识别并剥离混淆器与打包器，去混淆控制流，从内存中转储已加载的托管模块，处理 .NET 恶意软件、加载器与红队工具。
security-threat-model
security-threat-model 是 waybarrios/opencode-power-pack 中的一项技能，用于为代码仓库或指定项目路径生成基于仓库证据的 AppSec 威胁模型。它覆盖资产、信任边界、攻击者、滥用路径与缓解措施，强调以真实攻击者目标和具体影响为优先，而非通用检查清单。该技能要求所有架构论断都能在仓库中找到证据，并明确列出假设。使用方式为：收集仓库根路径、范围内路径、预期用途、部署模型、互联网暴露与认证预期等输入，按 references/prompt-template.md 中的提示模板生成仓库摘要，并遵循其输出契约。工作流包括范围界定与系统模型提取、推导边界/资产/入口点、校准资产与攻击者能力、以滥用路径枚举威胁、按可能性与影响排序、与用户确认服务上下文与假设、给出缓解建议与重点路径，最后进行质量检查并输出 Markdown 文件。适用于需要对具体代码仓库进行安全威胁建模的场景。限制：仅用于明确请求的威胁建模任务；不得在无证据情况下声称组件、流程或控制措施；缺失上下文时需向用户提问并等待反馈。
bloodhound-enum
BloodHound.py 是 BloodHound 的 Python 采集器，用于对 Active Directory 进行远程信息采集。它通过 LDAP、DNS、Kerberos 协议采集域内数据，无需在目标主机上执行程序。采集范围覆盖用户、组、计算机、会话、ACL 和信任关系，输出 JSON 或 ZIP 文件，可导入 BloodHound GUI 分析域内攻击路径。支持密码、NTLM Hash（Pass the Hash）和 Kerberos 等多种认证方式，并可选择全量或按类别（Group、LocalAdmin、Session、ACL、Trusts）采集。适用于渗透测试中的 AD 信息收集与攻击路径分析场景。
ctf-misc
CTF 杂项（Misc）挑战技术技能，用于处理不属于 pwn/crypto/web/reverse/forensics/osint 的 CTF 杂项题目。覆盖编码解码谜题（QR、esolang、Verilog、BCD、Gray 码、SMS PDU）、Python 与 Bash 沙箱逃逸、RF/SDR 信号处理（QAM-16、载波恢复、定时同步）、DNS 利用、游戏与 VM 逆向（WASM、Roblox、PyInstaller、K8s RBAC、Z3 约束求解、浮点数技巧）、博弈论、Linux 提权等方向。技能通过分类决策树引导定位具体方向，再按需加载对应参考文件深入。
ctf-osint
CTF 开源情报（OSINT）技能，用于在 CTF 挑战中从公开信息中挖掘线索。覆盖社交媒体调查、Google Dorking、反向图片搜索、Wayback Machine、DNS 侦察、Tor 中继查询与元数据提取等方向。提供分类决策树，按“找人/找账号、找位置、找信息、特殊场景”四条路径给出对应工具与命令，例如用 whatsmyname.app 枚举用户名、用 Google Lens 裁剪搜索做地理定位、用 dig 做 DNS 侦察、用 exiftool 提取元数据。适合需要追踪身份、定位照片、恢复历史网页或排查信息泄露的题目。
ctf-solve
CTF 综合解题编排器，用于面对未知类型的 CTF 挑战时自动分析挑战类型并选择正确解题路径。它会根据文件类型或关键词调度对应的专项 skill，涵盖 pwn、crypto、web、reverse、forensics、osint、malware、misc 等方向，适合给定挑战文件或服务端点但不确定属于哪个类别的场景。
ctf-source-audit
ctf-source-audit 是一套面向 CTF 挑战的源码审计方法论技能，来源于 wgpsec/aboutsecurity。它强调 CTF 源码审计与真实代码审计的区别：CTF 源码通常只有几十到几百行，漏洞是出题者故意设置的，一般只有 1-2 个关键点。核心策略是先定位危险函数（sink），再追溯输入（source）到该函数的路径。技能覆盖 PHP、Python、Node.js、Java 等语言的危险函数清单与常见漏洞模式，包括弱比较、变量覆盖、类型戏法、反序列化 POP 链、Flask Session 伪造、Werkzeug Debug PIN 计算、SSTI、Pickle 反序列化、原型链污染、SpEL 注入、XXE 等，并给出快速识别语言框架、追踪数据流、审计产出等流程步骤。适用于发现 .git 目录、.bak/.zip 备份、/proc/self/environ 等源码泄露场景下的 CTF 解题。
code-vuln-audit
code-vuln-audit 是一款代码安全扫描工具，提供三类核心扫描能力：依赖漏洞扫描（自动识别 npm / pip 依赖中的已知漏洞）、密钥泄露检测（通过正则匹配与 Shannon 熵分析发现硬编码的密钥、令牌和密码）、OWASP 反模式检测（识别 SQL 注入、XSS、命令注入、不安全反序列化等常见安全反模式）。工具以 Python 脚本形式运行，支持 all、deps、secrets、owasp 四种扫描模式，可输出文本或 JSON 报告，并支持按严重级别过滤、排除目录、限制文件大小等参数。适用于在开发或审查阶段对项目代码进行快速安全自查。
shodan-reconnaissance
该技能提供在渗透测试中系统化使用 Shodan 进行侦察的方法，涵盖 Web 界面、CLI、REST API、搜索过滤器、按需扫描与网络监控，用于发现暴露服务、脆弱系统与物联网设备。需 Shodan 账户与 API Key，且仅限获得授权的目标。