工具集

Trail of Bits 出品的静态分析技能组：用 CodeQL 做跨过程污点追踪与数据流分析，用 Semgrep 做规则扫描，并解析、去重 SARIF 结果。需本机安装 CodeQL 或 Semgrep。

安全公司 Trail of Bits 的插件市场，收录 40 多个插件，覆盖代码审计、CodeQL / Semgrep 静态分析、变体分析、供应链风险、智能合约安全与逆向分析。Codex 也可以直接加载。

Trail of Bits 出品，从一个已确认的漏洞出发提炼根因，编写并逐步泛化 CodeQL / Semgrep 查询，在整个代码库里查找同类变体并分级报告。

用同一套选择器语法查询、修改和转换 JSON、YAML、TOML、XML、CSV、HCL、INI 等格式的数据，可以直接改写配置文件，也能在格式之间互转，适合 agent 在脚本里处理结构化数据。单个无运行时依赖的二进制文件，用法类似 jq / yq。

纯 C/C++ 实现的扩散模型推理工具，用 sd-cli 一条命令在本地运行 SD、FLUX、Qwen Image、Wan 等模型生成或编辑图片与短视频，Mac 可用 Metal 加速，不依赖云服务。需要自行下载模型权重，并从 Releases 下载预编译程序或自行编译。

用 SQL 实时查询云资源与 SaaS API：安装插件后，AWS、Azure、GCP、GitHub、Kubernetes 等服务被映射为数据表，直接 select 取数，无需 ETL。单一二进制，内置 Postgres。

创建、修改与校验可复现的 Python / SQL Jupyter Notebook：按分析报告或教程结构组织单元格，结论对照实际输出，交付前从头到尾执行一遍。OpenAI 官方维护，属于 openai/plugins 的 Data Analytics 插件。

在 Codex 里按 OpenAI 最佳实践开发：调用 OpenAI API、用 Agents SDK 构建和部署代理、搭建 ChatGPT App 并生成提审材料，可直接创建 API Key。OpenAI 官方维护，仅支持 Codex。

对整个仓库或 PR、提交等代码变更做安全扫描，并提供威胁建模、漏洞研判、修复与复验，报告可导出 JSON、SARIF 等格式。OpenAI 官方 Codex 插件，需要开通 Codex Security 访问权限。

OpenAI 官方 Codex 插件，面向二级市场股票投资：财报前瞻与复盘、DCF/三表/可比估值、模型更新、多空交易提案、催化剂日历、仓位与对冲评估、投资备忘录。可接入 FactSet、PitchBook 等付费数据源，也能直接用上传文件和公开资料。

把网页抓取成 Markdown 或结构化数据，支持整站爬取、站点地图、网页搜索与动态页面交互。Firecrawl 官方维护，云端需要 API Key（也可自托管）；托管端免密钥时仅开放抓取、搜索与解析。

Anthropic 官方的漏洞发现与修复参考实现：在仓库内用 Claude Code 技能做威胁建模、静态扫描、分诊与补丁生成，另附侦察→发现→验证→报告→修补的自主流水线（默认针对 C/C++ 内存漏洞，需 Docker 与 gVisor 沙箱）。官方已声明不再维护。

让 agent 操作 Home Assistant 智能家居：控制设备、查询状态与历史，创建并调试自动化、编辑仪表盘，共 80 多个工具。社区维护（非官方），需自有 Home Assistant 实例，uvx 方式运行还需长期访问令牌。

用自然语言管理 Kubernetes 集群：把意图翻译成 kubectl 操作并执行，也可作为 MCP 服务器供其他 agent 调用。默认用 Gemini（需 API Key），也支持 OpenAI、本地模型等。Google Cloud 官方维护。

开源的大模型评测平台，opencompass 命令一行指定模型与数据集即可跑评测，覆盖上百个基准，既能评测本地 Hugging Face 模型也能评测 API 模型，并支持 vLLM、LMDeploy 加速推理。

更直观的查找替换工具（sed 替代）：使用 JavaScript / Python 风格的正则语法，支持字符串字面量模式与原地修改文件，适合 agent 批量改写文本。

在 Jupyter Notebook 与普通 Python 脚本或 Markdown 之间互相转换、双向同步的工具，让 agent 能像改普通文本一样修改科研和教学用的 notebook，版本对比也更清楚。需要本机 Python 环境，用 pip 安装。

向 arXiv 投稿前清理 LaTeX 工程：删除注释、辅助文件和未被引用的 tex 与图片，可按需压缩图片，避免内部批注随源码公开。Google Research 出品，macOS 可用 Homebrew 安装。

Python 编写的网页正文提取库与命令行：抓取网页，可跟随站点地图与 RSS 批量采集，去除页眉页脚等噪声，输出 TXT、Markdown、JSON、XML 等格式并附元数据，也能离线处理已下载的 HTML。

Anthropic 官方的系统级沙箱命令行：无需容器即可限制 agent、MCP 服务器与任意命令的文件和网络访问，macOS 用 sandbox-exec、Linux 用 bubblewrap。目前是研究预览版。

CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。

14 个 n8n 工作流技能：表达式语法、MCP 工具用法、节点配置、校验排错、Code 节点、AI Agent 工作流与自建 n8n 部署。需要配合 n8n-mcp 服务器使用。

老牌 CSV 命令行工具集：in2csv 把 Excel、JSON 转成 CSV，csvcut、csvgrep、csvsort 筛选排序，csvstat 做统计，csvsql 直接对 CSV 跑 SQL。

Google 官方的 ADK agent 开发技能组：开发流程、项目脚手架、ADK Python API、评测（LLM 评审与自适应评分标准）、部署到 Agent Runtime / Cloud Run / GKE、发布与可观测性。需配合 agents-cli 命令行，本地开发只需 AI Studio API Key。