# 工具集 > 全部已收录的资源，编辑推荐的排在前面。下面几种条件可以同时用。 - 可以搜索：在地址后加 `?q=<关键词>`，多个关键词用空格分隔，要同时命中。搜的是名称、仓库、标签、职业、简介与 README。 - 可以按类型过滤：在地址后加 `?type=`。 - 可以按职业过滤：在地址后加 `?profession=<职业编号>`，多个用逗号分隔，资源适合其中任意一个即可。编号见 https://hebbmind.com/api/v1/professions - 可以按标签过滤：在地址后加 `?tag=<标签>`，多个用逗号分隔，资源要同时带有这些标签。标签见 https://hebbmind.com/api/v1/tags 适合安全的资源，共 71 项。 > 代码审计、漏洞排查、渗透测试与安全合规。 - [Claude Security](https://hebbmind.com/zh-TW/plugin/claude-security.md): [Plugin] 在会话内调度多个子代理梳理架构、建威胁模型、全面排查漏洞。每条发现都要先经独立复核才写进报告，报告另附 SARIF，还可以生成补丁文件由人决定是否应用。Anthropic 官方插件，需要 Python 3.9+。 - [Trail of Bits Skills](https://hebbmind.com/zh-TW/skill/trailofbits-skills.md): [Skill] 安全公司 Trail of Bits 出品的技能合集，40 多个插件覆盖代码审计、CodeQL/Semgrep 静态分析、差异评审、智能合约与密码学审计、模糊测试等，也可作为 Claude Code / Codex 插件市场安装。 - [ECC](https://hebbmind.com/zh-TW/plugin/ecc.md): [Plugin] 面向编码 agent 的整套 harness：打包数十个子代理、近 300 个技能、钩子、规则、记忆与持续学习，并附带 AgentShield 安全扫描；以 Claude Code 为主，也支持 Codex。 - [Agentic Awesome Skills](https://hebbmind.com/zh-TW/skill/agentic-awesome-skills.md): [Skill] 收录 2400 多个可安装的 SKILL.md 技能，覆盖开发、安全、云与运维、AI、营销等领域；附 AAS Core 本地 MCP 与安装器，帮 agent 检索、挑选技能并预览安装计划。原名 antigravity-awesome-skills。 - [wshobson/agents](https://hebbmind.com/zh-TW/skill/wshobson-agents.md): [Skill] wshobson/agents 插件市场中 90 余个插件附带的 180 余个技能，覆盖多语言与框架开发、测试、运维、安全、数据与大模型应用。可用 npx skills 或 gh skill 按需单装，只装技能，不含子代理与命令。 - [GDPR Data Handling](https://hebbmind.com/zh-TW/skill/gdpr-data-handling.md): [Skill] 面向欧盟 GDPR 的数据合规技能：梳理合法处理依据、同意管理、数据主体访问与删除请求、数据保留和泄露通报，附合规检查清单与示例代码，便于法务和研发共同评审隐私合规。装进 Claude Code 或 Codex 即可用，无需账号或 API Key；内容为英文，结论需律师复核。 - [Security Scanning](https://hebbmind.com/zh-TW/plugin/security-scanning.md): [Plugin] wshobson/agents 市场中的安全插件：提供 SAST、依赖漏洞扫描与安全加固命令，附安全审计员与威胁建模子代理，以及 STRIDE、攻击树等威胁分析技能。 - [wshobson/agents](https://hebbmind.com/zh-TW/plugin/wshobson-agents.md): [Plugin] 多宿主插件市场，含 90 余个单一用途插件、200 余个子代理与 180 余个技能，覆盖语言开发、运维、安全、数据与多代理编排；安装插件时只加载该插件的内容。 - [Security Guidance](https://hebbmind.com/zh-TW/plugin/security-guidance.md): [Plugin] 对 agent 写的代码做三层安全检查：编辑时按规则提示约 25 种危险写法，回合结束时让模型评审 diff，提交时由代理追踪跨文件漏洞（如 IDOR、SSRF）。Anthropic 官方插件，需要 Python 3.8+ 与可用的模型 API 通道。 - [Trivy](https://hebbmind.com/zh-TW/cli/trivy.md): [CLI] 一站式安全扫描器：检查容器镜像、文件系统、Git 仓库与 Kubernetes 集群中的已知漏洞、IaC 错误配置、泄露密钥与软件许可证，并能生成 SBOM。Aqua Security 开源维护。 - [Vault](https://hebbmind.com/zh-TW/cli/vault.md): [CLI] HashiCorp 的密钥管理系统：vault 命令行可读写密钥、按需签发数据库与云平台的动态凭据、加解密数据并管理租约与吊销。需要连接可用的 Vault 服务端。 - [Anthropic Cybersecurity Skills](https://hebbmind.com/zh-TW/skill/anthropic-cybersecurity-skills.md): [Skill] 社区维护的网络安全技能库，800 多个技能覆盖威胁狩猎、应急取证、渗透测试、云安全等 34 个领域，并映射 MITRE ATT&CK 与 NIST CSF。非 Anthropic 官方，进攻类技能仅限授权测试使用。 - [Nuclei](https://hebbmind.com/zh-TW/cli/nuclei.md): [CLI] 基于 YAML 模板的高性能漏洞扫描器：配合社区贡献的模板库，在 HTTP、DNS、TCP、SSL 等协议上检测已知漏洞，支持自定义模板并可接入 CI/CD。仅用于已授权的目标。 - [Gitleaks](https://hebbmind.com/zh-TW/cli/gitleaks.md): [CLI] 检测 Git 仓库、目录文件与标准输入中硬编码的密码、API Key 和令牌，可配成 pre-commit 钩子或 GitHub Action 拦截密钥泄露。已宣布功能冻结、只发安全补丁，作者转向 Betterleaks。 - [Compliance Tracking](https://hebbmind.com/zh-TW/skill/compliance-tracking.md): [Skill] Anthropic 官方运营插件里的合规技能：梳理 SOC 2、ISO 27001、GDPR、HIPAA、PCI DSS 等框架的控制项、负责人与证据，安排审计日程并做差距分析，输出审计准备清单与证据收集计划。结论需法务或合规专业人员复核。 - [TruffleHog](https://hebbmind.com/zh-TW/cli/trufflehog.md): [CLI] 在 Git、GitHub、S3、文件系统等来源中查找泄露的凭据，可识别 800 多种密钥类型，并登录对应服务验证密钥是否仍然有效，减少误报。 - [promptfoo](https://hebbmind.com/zh-TW/cli/promptfoo.md): [CLI] 评测与红队测试大模型应用的 CLI 与库：批量对比提示词与模型输出、扫描安全漏洞、接入 CI/CD，评测在本地运行。已并入 OpenAI，仍以 MIT 协议开源。 - [radare2](https://hebbmind.com/zh-TW/cli/radare2.md): [CLI] 开源逆向工程框架与命令行：反汇编、调试、模拟执行与修改二进制，支持多种架构和文件格式，可通过 r2pipe 或内置 JavaScript 脚本化调用。 - [SOPS](https://hebbmind.com/zh-TW/cli/sops.md): [CLI] 加密 YAML、JSON、ENV、INI 等配置文件中的密钥值，支持 AWS / GCP / Azure KMS、age 与 PGP，让密钥可以安全地和代码一起存进 Git。CNCF 沙箱项目。 - [Semgrep MCP](https://hebbmind.com/zh-TW/mcp/semgrep-mcp.md): [MCP] Semgrep 官方 MCP 服务器，已并入 semgrep 主仓库，通过 semgrep mcp 启动：让 agent 对代码做静态安全扫描、用自定义规则查找问题并查看语法树。需先安装 Semgrep CLI；接入 AppSec 平台需 SEMGREP_APP_TOKEN。 - [Semgrep](https://hebbmind.com/zh-TW/cli/semgrep.md): [CLI] 语义化的多语言静态分析工具：用写法接近源码的规则查找漏洞与缺陷，支持 30 多种语言与自定义规则，默认在本地扫描、不上传代码。跨文件分析与 Pro 规则需登录。 - [Prowler](https://hebbmind.com/zh-TW/cli/prowler.md): [CLI] 对 AWS、Azure、GCP、Kubernetes、GitHub、M365 等环境做安全基线与合规检查，内置 CIS、NIST、PCI-DSS、SOC2 等框架，可以生成报告，也能打开本地看板。需要先配置对应云账号的凭证。 - [Nmap](https://hebbmind.com/zh-TW/cli/nmap.md): [CLI] 经典的网络探测与安全审计工具：主机发现、端口扫描、服务版本与操作系统识别，并可用 NSE 脚本做漏洞检测。只应扫描已获授权的网络。 - [Grype](https://hebbmind.com/zh-TW/cli/grype.md): [CLI] 扫描容器镜像、文件系统目录与 SBOM 中的已知漏洞，覆盖主流 Linux 发行版软件包和多种语言依赖，支持按 EPSS、KEV 排序风险，也支持用 OpenVEX 过滤结果，适合在 CI 中做漏洞门禁。由 Anchore 官方维护。 - [IDA Pro MCP](https://hebbmind.com/zh-TW/mcp/ida-pro-mcp.md): [MCP] 让 agent 在 IDA Pro 中反编译、反汇编、查交叉引用，并重命名变量、修改类型、添加注释，支持 idalib 无界面模式。需要 IDA Pro 8.3 以上（不支持 IDA Free）；作者现推荐改用 Hex-Rays 官方 IDA MCP。 - [HexStrike AI](https://hebbmind.com/zh-TW/mcp/hexstrike-ai.md): [MCP] 把 nmap、sqlmap、nuclei 等 150 多种安全工具封装给 agent 调度，覆盖网络侦察、Web 渗透、二进制分析与 CTF。需先克隆仓库、自行安装各安全工具并启动本地服务，仅用于已授权的测试。 - [Presidio CLI](https://hebbmind.com/zh-TW/cli/presidio.md): [CLI] 用 Presidio Analyzer 扫描文件与目录中的个人敏感信息（姓名、邮箱、信用卡号等），可配置实体类型、置信度阈值与忽略规则。需要 Python 3.10+ 与 spaCy 语言模型。 - [OSV-Scanner](https://hebbmind.com/zh-TW/cli/osv-scanner.md): [CLI] Google 官方的依赖漏洞扫描器：解析项目的 lockfile 与容器镜像，对照 OSV.dev 漏洞库找出受影响的依赖，并可给出升级修复建议（实验功能）。 - [Codex Security](https://hebbmind.com/zh-TW/cli/codex-security.md): [CLI] OpenAI 官方安全 CLI 与 TypeScript SDK：扫描代码库，发现、验证并修复安全漏洞，还能起草 SECURITY.md 安全策略。需要 Node.js 22.13+、Python 3.10+，并登录 ChatGPT 或配置 API Key。 - [AI Governance Legal](https://hebbmind.com/zh-TW/plugin/ai-governance-legal.md): [Plugin] Anthropic 官方 AI 治理插件：按内部登记册给 AI 用例分级，跨欧盟 AI 法案等适用法规做影响评估，审查供应商 AI 条款里的数据训练与责任风险，并定期检查 AI 政策与实践的偏差。 - [Privacy Legal](https://hebbmind.com/zh-TW/plugin/privacy-legal.md): [Plugin] 隐私合规法务插件：判断数据处理活动是否需要做 PIA/DPIA，生成隐私影响评估，按控制方或处理方立场审查 DPA，在法定时限内起草 DSAR 答复。Anthropic 官方。 - [garak](https://hebbmind.com/zh-TW/cli/garak.md): [CLI] NVIDIA 官方开源的大模型漏洞扫描器，探测提示注入、越狱、数据泄露、幻觉和有害内容等弱点，支持 OpenAI、Hugging Face、Bedrock 以及多数可经 REST 访问的模型。扫描云端模型时需要对应的 API Key。 - [Checkov](https://hebbmind.com/zh-TW/cli/checkov.md): [CLI] 静态扫描 Terraform、CloudFormation、Kubernetes、Helm、Dockerfile 以及 CI 流水线配置里的安全和合规问题，内置上千条策略，能识别硬编码密钥，可输出 SARIF、JSON 等格式。由 Prisma Cloud 维护。 - [Steampipe](https://hebbmind.com/zh-TW/cli/steampipe.md): [CLI] 用 SQL 实时查询云资源与 SaaS API：安装插件后，AWS、Azure、GCP、GitHub、Kubernetes 等服务被映射为数据表，直接 select 取数，无需 ETL。单一二进制，内置 Postgres。 - [Agentic Actions Auditor](https://hebbmind.com/zh-TW/skill/agentic-actions-auditor.md): [Skill] Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。 - [Trail of Bits Skills](https://hebbmind.com/zh-TW/plugin/trailofbits-skills.md): [Plugin] 安全公司 Trail of Bits 的插件市场，收录 40 多个插件，覆盖代码审计、CodeQL / Semgrep 静态分析、变体分析、供应链风险、智能合约安全与逆向分析。Codex 也可以直接加载。 - [Supply Chain Risk Auditor](https://hebbmind.com/zh-TW/skill/supply-chain-risk-auditor.md): [Skill] Trail of Bits 出品的技能：审计 npm、PyPI、Go 依赖的供应链风险——直接依赖与整棵锁文件树的已知漏洞公告、已弃用或归档的上游、npm 发布者集中度、安装期脚本执行。需要 uv，建议配置已登录的 gh。 - [Differential Review](https://hebbmind.com/zh-TW/skill/differential-review.md): [Skill] Trail of Bits 出品，从安全视角审查 PR、提交或 diff：结合 git blame 追溯历史、按调用方数量估算改动影响范围、检查测试覆盖缺口，输出 Markdown 审查报告。 - [Static Analysis](https://hebbmind.com/zh-TW/skill/static-analysis.md): [Skill] Trail of Bits 出品的静态分析技能组：用 CodeQL 做跨过程污点追踪与数据流分析，用 Semgrep 做规则扫描，并解析、去重 SARIF 结果。需本机安装 CodeQL 或 Semgrep。 - [Variant Analysis](https://hebbmind.com/zh-TW/skill/variant-analysis.md): [Skill] Trail of Bits 出品，从一个已确认的漏洞出发提炼根因，编写并逐步泛化 CodeQL / Semgrep 查询，在整个代码库里查找同类变体并分级报告。 - [Defending Code Reference Harness](https://hebbmind.com/zh-TW/skill/defending-code-reference-harness.md): [Skill] Anthropic 官方的漏洞发现与修复参考实现：在仓库内用 Claude Code 技能做威胁建模、静态扫描、分诊与补丁生成，另附侦察→发现→验证→报告→修补的自主流水线（默认针对 C/C++ 内存漏洞，需 Docker 与 gVisor 沙箱）。官方已声明不再维护。 - [Codex Security](https://hebbmind.com/zh-TW/plugin/codex-security.md): [Plugin] 对整个仓库或 PR、提交等代码变更做安全扫描，并提供威胁建模、漏洞研判、修复与复验，报告可导出 JSON、SARIF 等格式。OpenAI 官方 Codex 插件，需要开通 Codex Security 访问权限。 - [zizmor](https://hebbmind.com/zh-TW/cli/zizmor.md): [CLI] CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。 - [Ghidra MCP Server](https://hebbmind.com/zh-TW/mcp/ghidra-mcp.md): [MCP] 为 Ghidra 提供 250 多个 MCP 工具：反编译、交叉引用、数据流分析、批量重命名与注释、P-code 模拟和实时调试，支持无界面模式。需要 Java 21 与 Ghidra 12.1，并先构建、部署插件。 - [Anthropic Sandbox Runtime (srt)](https://hebbmind.com/zh-TW/cli/sandbox-runtime.md): [CLI] Anthropic 官方的系统级沙箱命令行：无需容器即可限制 agent、MCP 服务器与任意命令的文件和网络访问，macOS 用 sandbox-exec、Linux 用 bubblewrap。目前是研究预览版。 - [ExifTool](https://hebbmind.com/zh-TW/cli/exiftool.md): [CLI] 读写图片、视频、音频、PDF 等数百种文件元数据的经典命令行工具，覆盖 EXIF、GPS、IPTC、XMP 与各相机厂商私有字段，可批量改写、清除或转换元数据。需要 Perl 环境。 - [Nali](https://hebbmind.com/zh-TW/cli/nali.md): [CLI] 离线查询 IP 归属地与 CDN 服务商的终端工具，支持纯真、GeoIP2、ip2region 等数据库，可通过管道为 dig、nslookup 等命令的输出自动标注 IP 信息。 - [CTF Skills](https://hebbmind.com/zh-TW/skill/ctf-skills.md): [Skill] 面向 CTF 解题的技能合集，覆盖 Web、Pwn、密码学、逆向、取证、OSINT、恶意样本分析等方向，并附一键安装常用解题工具的脚本。遵循 Agent Skills 规范，可用 npx skills 安装。 - [JADX AI MCP](https://hebbmind.com/zh-TW/mcp/jadx-ai-mcp.md): [MCP] JADX 反编译器插件加配套 MCP 服务器，让 agent 读取 APK 的类、方法、Smali 与资源文件，辅助 Android 逆向分析与漏洞排查。需要安装 JADX-GUI 与 uv。 - [ScanCode Toolkit](https://hebbmind.com/zh-TW/cli/scancode-toolkit.md): [CLI] 扫描代码库与依赖中的开源许可证、版权声明和包清单，用全文比对识别许可证，结果可导出为 JSON、SPDX、CycloneDX 等格式，适合开源合规审查。 下一页：https://hebbmind.com/zh-TW/tools.md?page=2&profession=security