cso

用途

CSO 是一个安全审计类 Skill，定位为“基础设施优先（Infrastructure-first）”的审计流程，用于对项目进行系统性安全排查。它围绕 14 个阶段组织审计工作，目标是对代码与基础设施的安全状况形成可验证的判断，而不是只做单点扫描。

主要能力

根据资料描述，该 Skill 覆盖以下审计领域：

• 攻击面测绘（attack surface mapping）：梳理可被外部或内部触达的入口与暴露面。
• 密钥考古（secrets archaeology）：通过 git 历史检索可能被提交又删除的敏感信息，包括密钥等。
• 供应链分析（supply chain analysis）：对依赖与供应链相关风险进行检查。
• CI/CD 流水线安全（CI/CD pipeline security）：审计持续集成与持续交付环节的安全配置。
• LLM/AI 威胁检测（LLM/AI threat detection）：针对大模型与 AI 相关组件的风险进行检测。
• OWASP Top 10：按 OWASP Top 10 这一常见 Web 安全风险清单进行核查。
• STRIDE 威胁建模：使用 STRIDE 方法对威胁进行建模。

此外，资料还列出该 Skill 具备以下机制性能力：置信度门控（confidence gates）、利用场景（exploit scenarios）、并行验证（parallel verification）与趋势追踪（trend tracking）。

使用方式

资料明确声明的运行属性是只读（Read-only），即审计过程不修改目标内容。关于具体如何安装、如何调用该 Skill、需要哪些运行环境或依赖（例如 Claude 相关目录、gstack 工具链等），资料中未提供完整、可独立执行的步骤，暂未提供详细信息。资料中出现的 bash 片段属于其引用文档的框架性前言与遥测逻辑，涉及更新检查、会话目录、配置读取、分支读取、遥测记录、贡献者模式、完成状态协议等内容，并非 CSO 审计流程本身的安装或使用说明，因此不应作为使用步骤引用。

适用场景

该 Skill 适用于需要对代码仓库及其相关基础设施开展安全审计的场景，尤其是希望将审计范围从代码扩展到 CI/CD、供应链、密钥历史与 AI 组件的团队。对于关注 OWASP Top 10 或 STRIDE 威胁建模的评审工作，也可作为流程化审计的参考。

限制

• 资料明确标注其为只读，因此不包含自动修复或变更能力。
• 资料未给出具体的价格、收费模式、平台支持范围与效果承诺，暂未提供。
• 资料未给出完整、可直接执行的安装命令或调用示例，暂未提供。
• 该 Skill 引用自上游文档，其许可证为 MIT，作者为 Garry Tan；具体实现细节以对应的 SKILL.md 为准。

引用文档

以下为作者声明的引用来源，保留指定版本、署名和许可。

作者的来源声明

• garrytan/gstack/cso/SKILL.md — 署名：Garry Tan；许可：MIT；版本：f4bbfaa5bdfd2d6ce59541c2145432febde57fed。