用途
Security Audit 用于扫描、检测并修复代码库与基础设施中的安全问题，同时覆盖传统安全与智能体（Agentic）AI 系统安全。它适用于以下场景：扫描项目依赖中的已知漏洞；检测源码中硬编码的密钥、API Key 或凭据；审查代码中的 OWASP Top 10 漏洞（注入、XSS、CSRF 等）；验证端点的 SSL/TLS 配置；审计文件与目录权限；检查认证与授权模式；为安全审查或合规审计做准备；以及审计智能体工作区配置、权限边界、提示注入向量、多智能体通信安全、身份验证机制和持久记忆投毒。
主要能力
依赖漏洞扫描
提供各语言生态的命令：Node.js 使用 npm audit（含 --json、--audit-level=high、npm audit fix、npx audit-ci --high）；Python 使用 pip-audit（含 -r requirements.txt、--format=json）与 safety check；Go 使用 govulncheck ./...；Rust 使用 cargo audit 与 cargo audit fix；通用工具 Trivy 可扫描文件系统（trivy fs .）、指定语言与严重级别、Docker 镜像（trivy image）并输出 JSON。
密钥检测
提供手动 grep 模式，覆盖 AWS Key（AKIA[0-9A-Z]{16}）、通用 API Key/Token、私钥（BEGIN.*PRIVATE KEY）、配置中的密码、含凭据的连接字符串（mongodb/mysql/postgres/redis）、JWT Token 等。支持通过 git log -p --all 扫描 git 历史、检查暂存文件，并提供 pre-commit 钩子脚本在提交前拦截潜在密钥。还包含 .gitignore 审计，检查敏感文件是否被跟踪以及 .gitignore 是否缺失常见条目。
OWASP Top 10 代码模式
针对注入（SQL/命令/LDAP）、认证缺陷（弱哈希、硬编码凭据、URL 中的会话令牌、缺少限流）、XSS（innerHTML、dangerouslySetInnerHTML、v-html、模板注入、document.write、eval）、不安全直接对象引用、安全配置错误（CORS 通配符、生产环境调试模式、详细错误信息）提供 grep 检测模式。
SSL/TLS 验证
使用 openssl 检查端点证书主题、签发者、有效期与指纹，检查证书过期时间、支持的 TLS 版本（tls1 至 tls1_3）、密码套件与弱密码，验证证书链，并检测代码中是否禁用了 SSL 验证（verify=False、rejectUnauthorized: false、InsecureSkipVerify: true 等）。
文件权限审计
查找全局可写文件、不应可执行的文件、敏感文件权限、SUID/SGID 文件，以及 SSH 密钥目录权限（~/.ssh 应为 700，私钥 600）。
完整审计脚本
提供 security-audit.sh 脚本，依次执行密钥检测、依赖审计、.gitignore 覆盖检查、SSL 验证禁用检查、CORS 通配符检查、调试模式检查，并统计问题数量后返回退出码。
安全编码参考
包含环境变量替代硬编码密钥的示例、输入验证清单（类型/长度/格式校验、参数化 SQL、Shell 命令、路径遍历、SSRF、XSS 转义、JSON 解析错误处理、文件上传检查）、HTTP 安全响应头检查（HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy）。
智能体安全审计（Agentic）
基于论文 "Agents of Chaos"（arXiv:2602.20021）与 OWASP Top 10 for Agentic Applications 2026，提供检查清单：ASI01 智能体目标劫持（直接与间接提示注入）、ASI02 工具滥用与利用（shell、文件系统、API 滥用）、ASI03 身份与权限滥用（混淆代理、过度授权）、ASI04 记忆投毒（SOUL.md、MEMORY.md、持久上下文）、ASI05 供应链攻击（恶意技能/插件）、ASI06 失控智能体等。
使用方式
该技能以命令行脚本、grep 模式、pre-commit 钩子和完整审计脚本的形式提供，可直接在项目目录中运行，也可集成到 CI 流程中。
适用场景
适用于开发者在提交前检查密钥、在 CI 中对每个 PR 运行依赖审计、在安全审查或合规审计前做全面扫描，以及审计智能体工作区与权限配置。
限制
资料未提供该技能的安装方式、运行环境要求、支持的平台范围、收费模式或具体效果数据，这些信息暂未提供。