工具集

Trail of Bits 出品的技能：审计 npm、PyPI、Go 依赖的供应链风险——直接依赖与整棵锁文件树的已知漏洞公告、已弃用或归档的上游、npm 发布者集中度、安装期脚本执行。需要 uv，建议配置已登录的 gh。

用同一套选择器语法查询、修改和转换 JSON、YAML、TOML、XML、CSV、HCL、INI 等格式的数据，可以直接改写配置文件，也能在格式之间互转，适合 agent 在脚本里处理结构化数据。单个无运行时依赖的二进制文件，用法类似 jq / yq。

用 SQL 实时查询云资源与 SaaS API：安装插件后，AWS、Azure、GCP、GitHub、Kubernetes 等服务被映射为数据表，直接 select 取数，无需 ETL。单一二进制，内置 Postgres。

纯 C/C++ 实现的扩散模型推理工具，用 sd-cli 一条命令在本地运行 SD、FLUX、Qwen Image、Wan 等模型生成或编辑图片与短视频，Mac 可用 Metal 加速，不依赖云服务。需要自行下载模型权重，并从 Releases 下载预编译程序或自行编译。

在 Codex 里按 OpenAI 最佳实践开发：调用 OpenAI API、用 Agents SDK 构建和部署代理、搭建 ChatGPT App 并生成提审材料，可直接创建 API Key。OpenAI 官方维护，仅支持 Codex。

在安卓模拟器上复现问题：安装构建、用 adb 驱动界面、导出 UI 树、截图与抓 logcat，并用 Simpleperf、Perfetto 采集性能证据。OpenAI 官方 Codex 插件，需要 Android SDK。

创建、修改与校验可复现的 Python / SQL Jupyter Notebook：按分析报告或教程结构组织单元格，结论对照实际输出，交付前从头到尾执行一遍。OpenAI 官方维护，属于 openai/plugins 的 Data Analytics 插件。

测试与调试本地运行的前端页面：优先用 Codex 的 Browser 插件、没有则用 Playwright，检查空白页、框架报错与控制台错误，截图取证，改完重载复查并输出 QA 报告。OpenAI 官方维护，原 openai/skills 中的 playwright-interactive。

对整个仓库或 PR、提交等代码变更做安全扫描，并提供威胁建模、漏洞研判、修复与复验，报告可导出 JSON、SARIF 等格式。OpenAI 官方 Codex 插件，需要开通 Codex Security 访问权限。

把网页抓取成 Markdown 或结构化数据，支持整站爬取、站点地图、网页搜索与动态页面交互。Firecrawl 官方维护，云端需要 API Key（也可自托管）；托管端免密钥时仅开放抓取、搜索与解析。

Anthropic 官方的漏洞发现与修复参考实现：在仓库内用 Claude Code 技能做威胁建模、静态扫描、分诊与补丁生成，另附侦察→发现→验证→报告→修补的自主流水线（默认针对 C/C++ 内存漏洞，需 Docker 与 gVisor 沙箱）。官方已声明不再维护。

用自然语言管理 Kubernetes 集群：把意图翻译成 kubectl 操作并执行，也可作为 MCP 服务器供其他 agent 调用。默认用 Gemini（需 API Key），也支持 OpenAI、本地模型等。Google Cloud 官方维护。

开源的大模型评测平台，opencompass 命令一行指定模型与数据集即可跑评测，覆盖上百个基准，既能评测本地 Hugging Face 模型也能评测 API 模型，并支持 vLLM、LMDeploy 加速推理。

更直观的查找替换工具（sed 替代）：使用 JavaScript / Python 风格的正则语法，支持字符串字面量模式与原地修改文件，适合 agent 批量改写文本。

通过 Chrome 扩展把你正在使用的浏览器会话交给 agent：读取控制台日志与网络请求、截图，并运行 Lighthouse 性能、无障碍与 SEO 审计，无需重新登录。

在 Jupyter Notebook 与普通 Python 脚本或 Markdown 之间互相转换、双向同步的工具，让 agent 能像改普通文本一样修改科研和教学用的 notebook，版本对比也更清楚。需要本机 Python 环境，用 pip 安装。

向 arXiv 投稿前清理 LaTeX 工程：删除注释、辅助文件和未被引用的 tex 与图片，可按需压缩图片，避免内部批注随源码公开。Google Research 出品，macOS 可用 Homebrew 安装。

Python 编写的网页正文提取库与命令行：抓取网页，可跟随站点地图与 RSS 批量采集，去除页眉页脚等噪声，输出 TXT、Markdown、JSON、XML 等格式并附元数据，也能离线处理已下载的 HTML。

Anthropic 官方的系统级沙箱命令行：无需容器即可限制 agent、MCP 服务器与任意命令的文件和网络访问，macOS 用 sandbox-exec、Linux 用 bubblewrap。目前是研究预览版。

CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。

让 agent 操作 Home Assistant 智能家居：控制设备、查询状态与历史，创建并调试自动化、编辑仪表盘，共 80 多个工具。社区维护（非官方），需自有 Home Assistant 实例，uvx 方式运行还需长期访问令牌。

让编码 agent 用简短的 Puppeteer 脚本控制真实 Chrome，命名页面跨调用保持状态，可取无障碍树快照、截图并自测网页改动。需先全局安装 dev-browser CLI，仅支持 macOS 与 glibc Linux。

14 个 n8n 工作流技能：表达式语法、MCP 工具用法、节点配置、校验排错、Code 节点、AI Agent 工作流与自建 n8n 部署。需要配合 n8n-mcp 服务器使用。

让 agent 构建、运行、测试与调试 iOS / macOS 项目，并控制模拟器和真机，同时附带命令行模式。原名 XcodeBuildMCP，现由 Sentry 维护；仅支持 macOS，需要 Xcode 16 以上。