SuperAPI AI 工具集
合作ENAI 行业资讯收藏

Skill 广场

找到适合任务的 Agent Skill，阅读介绍并复制安装命令。

更新于 10-20 00:13

安全与审计

7,234 个结果

src-hunter

SRC Hunter 是一套面向 SRC、众测与 Bug Bounty 场景的实战漏洞挖掘工作流 skill。它以带强制检查点的工作流方式组织整个测试过程，分为 intake（接单）、recon（被动侦察）、enum（主动探测）、hunt（漏洞探测）、report（提交）五个阶段，每个阶段都有必须输出的内容，未通过不进入下一阶段。该 skill 内置 19 个攻击类 playbook，覆盖 SQLi、XSS、RCE、SSRF、IDOR、CSRF、路径遍历、文件上传、SSTI、XXE、竞态、HTTP 请求走私、OAuth、JWT、SAML、GraphQL、移动端、LLM 与 DoS 等方向，并附带 305 个结构化 payload、263 个 WAF/EDR 绕过变体、2887 份 HackerOne 真实 High/Critical 已披露案例、88,636 份 WooYun 案例统计，以及国产 OA/中间件指纹库和银行、电信行业垂直 playbook。该 skill 强调反幻觉约束：不凭记忆生成 payload、不编造案例编号、无证据不下结论、发现越界资产立即停止。当用户提到 SRC 挖洞、漏洞挖掘、Bug Bounty、众测、HackerOne、漏洞赏金，或询问如何测试某目标、某 API、如何绕过 WAF 时触发。

安全与审计47 次安装

claude-code-security-review-action

这是一款基于 Claude 的 GitHub Action 安全审查工具，用于在拉取请求（PR）中分析代码变更是否存在漏洞。它强调上下文感知分析，可识别 SQL 注入、XSS、认证缺陷、加密问题与业务逻辑漏洞，并尽量减少误报。使用前需要 Anthropic API 密钥（同时启用 Claude API 与 Claude Code 权限），配置好工作流权限后即可在 PR 中自动评论发现结果，并可将结果作为工作流构件上传。

安全与审计47 次安装

cti-domain-research

CTI Domain Research 是一个用于结构化威胁情报搜索的 Claude Code 技能，可在 300 多个精选安全域名中检索威胁情报、CVE、恶意软件分析、数据泄露报告和安全研究内容，并可选将结果推送到 NotebookLM。该技能支持 Brave Search、SerpAPI、Google CSE 等搜索服务，按权威性将域名分为四个层级（政府公告、厂商研究、新闻社区、专项情报），可对查询进行时间过滤、结果数量控制和输出格式切换。使用前需在插件目录创建 .env 并配置搜索 API 密钥，可选配置 NotebookLM 笔记本 ID。输出支持表格+要点的简报、长文报告和原始 JSON 三种格式。

安全与审计47 次安装

enterprise-readiness-review

Enterprise Readiness Review 是一个用于审计和设计企业级就绪度的技能，覆盖安全审查、SSO、SCIM、RBAC、审计日志、管理员控制、采购、法务、隐私与合规证据等维度。它把反复出现的产品运营问题转化为具体、可评审的交付物，而非泛泛建议。工作流包括：识别买方、推动者、经济决策人、IT/安全审查方、部署模式、数据敏感度和合同动议；阅读企业就绪模式参考文档；将企业诉求映射到安全/信任、身份/管理、法务/采购、支持/SLA、实施和产品缺口；区分发布阻断项、销售赋能证据和高级版打磨项；产出就绪矩阵、风险登记表、销售证明包和推广计划。该技能设有护栏：不承诺不存在的认证、合规、SLA 或数据驻留；没有买方/问题/用例映射就不构建企业功能；将安全证据与营销声明分开；将法律、监管和合同义务升级给合格负责人。输出格式包含企业上下文、就绪矩阵表格、阻断项与打磨项分类以及试点/推广计划。

安全与审计47 次安装

moderation-trust-review

Moderation Trust Review 是一个用于设计与审计内容审核、信任与安全、政策、审核队列、创作者或用户投稿、申诉、处罚阶梯与透明度机制的产品运营技能。它把反复出现的内容治理问题转化为可评审的具体产物，而非泛泛建议。工作流包括：识别内容类型、参与者、危害类别、可见性状态、执法权限与申诉归属；阅读参考模式文档；梳理投稿、自动检查、队列分诊、人工审核、处罚、通知、申诉与审计日志；区分政策不确定性、低风险质量问题、滥用与欺诈、非法内容、安全紧急事件与重复违规者；最终产出审核工作流、队列政策、处罚阶梯、透明度文案与事件数据结构。适用于需要落地内容治理流程的产品与运营团队。

安全与审计47 次安装

security-questionnaire-response-review

该技能用于准备和审查安全问卷回复、信任中心答案、供应商风险证据、企业买方安全材料包、控制项映射与差距登记。它把高风险的产品决策转化为具体、可衡量、可复核的操作产物：先识别买方、问卷来源、所需控制项、数据敏感度、产品范围、答案负责人和证据来源，再对每个问题分类（已实施控制、部分实施、不适用、路线图、未知、需法律/安全审查），并为每个实质性答案附上证据、注意事项、承诺、审查人、有效期和后续负责人，最终产出回复表、证据包、差距登记、销售安全摘要和升级清单。技能强调不得编造认证、渗透测试、控制项、SLA、数据驻留、子处理方或合规状态，不得在无责任人情况下回答法律、监管或合同承诺，需区分当前事实、补偿性控制、路线图意图和未解决差距，并脱敏机密、内部漏洞、客户数据和敏感架构细节。

安全与审计47 次安装

flutter-security

Flutter Security 是 thienqo/flutter-skills 技能集中的一项安全技能，用于对 Flutter 与 Dart 应用进行威胁建模、安全审计与加固，覆盖授权、密钥、敏感数据存储、网络传输、加密、隐私与日志等风险。其核心立场是：代码、配置、存储、日志以及交付到用户设备上的二进制文件都应视为可被检查，不能依赖混淆、环境文件或客户端检查来保守密钥或强制授权。该技能强调先界定范围（受保护资产、参与者、信任边界、支持平台、敏感流程与滥用场景），再检查 pubspec、平台清单与权限、环境处理、网络配置、存储、日志、WebView、链接与发布设置，并区分公开标识符与凭据。它要求授权与敏感业务规则在可信后端执行，使用平台级密钥存储，保持安全传输默认值，使用经过审查的密码学原语，并在深链、WebView、平台通道、文件、Intent、剪贴板与远程响应等边界验证不可信输入。报告需给出资产、攻击前提、可达路径、影响、证据与最小比例修复，并区分已确认漏洞与纵深防御改进。

安全与审计47 次安装

supply-chain-risk-auditor

Supply Chain Risk Auditor 是一个用于评估项目依赖供应链风险的工具技能。它的作用是系统性地检查项目的所有依赖，识别出存在被利用或被接管风险的依赖项，并生成风险总结报告。该技能在用户提出“审计此项目的依赖”时激活。其风险判定标准包括：依赖是否由个人或小团队维护、是否已停止维护或归档、流行度是否偏低、是否实现高风险功能（如 FFI、反序列化、第三方代码执行）、是否存在历史 CVE 漏洞、是否缺少安全联系渠道等。使用前需要确保 gh 工具可用，若未安装会提示用户安装。工作流程分为初始设置、依赖审计和审计后处理三个阶段：先创建工作目录和报告文件、查找并规范化依赖的 git 仓库地址；再逐项按风险标准评估，使用 gh 查询星标数、未解决 issue 数等准确数据，将命中任一风险因素的依赖写入高风险依赖表；最后为每个高风险依赖填写建议替代方案，统计各风险因素类别数量，撰写执行摘要与建议。该技能不用于主动漏洞扫描（应使用 npm audit、pip-audit 等专用工具）、运行时依赖分析或许可证合规审计。

安全与审计47 次安装

ctf-malware

ctf-malware 是一项面向 CTF 恶意软件分析的技术技能，适用于混淆脚本分析、C2 流量还原、PE/.NET 恶意样本逆向、自定义加密协议解析、YARA 规则编写、Shellcode 分析等挑战场景。覆盖静态分析（IDA/Ghidra）、动态调试（Frida/x64dbg）、流量分析（Wireshark）、内存取证等方向。该技能提供分类决策树，按脚本类、二进制类、流量分析、反分析检测、内存取证等类别给出排查路径；并给出快速分析命令，如文件分类、网络指标提取、PCAP 流量分析、PE 分析与内存取证命令；同时列出常见加密算法特征，如 AES S-box、ChaCha20、TEA/XTEA、RC4 及 AES-CBC 密钥派生；还提供 YARA 速查、反混淆技巧与 Shellcode 分析方法。

安全与审计47 次安装

evasion-technique-integrate

免杀技术整合是一套面向已有 Loader 代码的安全技能，用于将多种免杀技术植入现有加载器。它提供 172 条免杀技术库与整合模式参考，覆盖 API 混淆、字符串加密、内存规避、执行规避、反分析、AMSI/ETW 绕过、Unhooking 七类技术。当需要向已有 Loader 添加新加载技术，或现有 Loader 被检测到需要替换组件时使用。整合流程包括读取目标 Loader 源码、查询技术库、分析兼容性、逐项整合、交叉编译验证并输出变更报告。

安全与审计47 次安装

lateral-movement

横向移动技术技能，用于在已获取凭据（密码/哈希/密钥/票据）后从当前主机移动到其他主机。技能覆盖 SSH、RDP、WMI、PSExec、PTH（Pass-the-Hash）、PTT（Pass-the-Ticket）、DCOM 等技术，并提供根据目标操作系统与可用凭据类型选择移动方式的决策思路。内容包含目标发现、技术选择决策树、移动后操作流程与注意事项，并引用凭据提取与转储、远程执行技术对比、PTH/PTT/PTK 传递攻击、各技术具体命令等参考文档。

安全与审计47 次安装

healthcare-audit-logger

Healthcare Audit Logger 是一个面向 AI 智能体的 HIPAA 审计日志与事件追踪技能，属于 1mangesh1/hipaa-guardian。它用于为医疗系统生成不可篡改的审计追踪记录，跟踪受保护健康信息（PHI）的访问，监控认证事件，并帮助满足 45 CFR §164.312(b) 的审计控制要求。该技能提供日志生成、事件分类（访问、修改、删除、导出）、PHI 访问追踪、登录与权限提升记录、修改审计（谁在何时为何更改了 PHI）、用户活动监控、带篡改检测的 UTC 时间戳、按 HIPAA 要求的日志保留策略（6 年以上）、合规报告与审计摘要导出，以及审计日志完整性与不可否认性校验。使用方式为命令行形式：/healthcare-audit-logger [command] [options]，支持 init、log、log-access、log-auth、log-modification、policy、report、verify、export 等命令，以及 --user、--resource、--action、--reason、--outcome、--timestamp、--retention 等选项。

安全与审计46 次安装

hipaa-guardian

HIPAA Guardian 是一个面向 AI 代理的 PHI/PII 检测与 HIPAA 合规技能，侧重于开发者代码安全模式。它可以扫描数据文件与源代码，识别 18 项 HIPAA Safe Harbor 标识符，进行分类、风险评分，并将发现映射到具体 HIPAA 规则，最终生成审计报告与修复指导。该技能通过自然语言请求触发，每个任务对应一个独立脚本，没有统一的调度入口。扫描结果写入 stdout 或指定文件，并以退出码 0（干净）、1（高危发现）、2（严重发现）区分结果，便于 CI 门禁。

安全与审计46 次安装

add-request-protection

该技能已废弃，官方建议改用统一的 arcjet 技能。原技能用于为服务端路由或端点添加安全防护，涵盖速率限制、机器人检测、邮箱验证等能力。由于已被 arcjet 技能取代，且 arcjet 技能同时覆盖 HTTP 路由防护（即本技能原有范围）与非 HTTP 代码路径（如工具调用、MCP 处理器、队列工作进程），因此不再推荐单独使用本技能。资料未提供具体安装命令、配置方式、支持平台、收费信息或使用步骤。

安全与审计46 次安装

law-gdpr-pdpa

该技能用于分析 GDPR（欧盟通用数据保护条例）与台湾《个人资料保护法》（PDPA）及相关法规下的数据隐私合规要求。它提供两大法域的对比框架，涵盖适用范围、法律依据、同意标准、数据主体权利、跨境传输、数据泄露通知与处罚等维度，并给出合规评估步骤与输出格式模板。适用于需要同时评估欧盟与台湾隐私合规的组织，例如面向欧盟客户销售的台湾电商。技能强调“无法律依据不得收集”原则，并提醒同意并非总是最佳法律依据、匿名数据可能实为假名化数据、PDPA 同时覆盖公私部门、隐私应内建设计等要点。该技能为教育性指导，不构成法律建议。

安全与审计46 次安装