工具集

Trail of Bits 出品的静态分析技能组：用 CodeQL 做跨过程污点追踪与数据流分析，用 Semgrep 做规则扫描，并解析、去重 SARIF 结果。需本机安装 CodeQL 或 Semgrep。

Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。

Trail of Bits 出品，从安全视角审查 PR、提交或 diff：结合 git blame 追溯历史、按调用方数量估算改动影响范围、检查测试覆盖缺口，输出 Markdown 审查报告。

Trail of Bits 出品的技能：审计 npm、PyPI、Go 依赖的供应链风险——直接依赖与整棵锁文件树的已知漏洞公告、已弃用或归档的上游、npm 发布者集中度、安装期脚本执行。需要 uv，建议配置已登录的 gh。

用同一套选择器语法查询、修改和转换 JSON、YAML、TOML、XML、CSV、HCL、INI 等格式的数据，可以直接改写配置文件，也能在格式之间互转，适合 agent 在脚本里处理结构化数据。单个无运行时依赖的二进制文件，用法类似 jq / yq。

从文章、截图、照片或视频生成小红书 3:4 图文组、Live Photo 动态卡和公众号 21:9 + 1:1 封面对。内置电子杂志与瑞士风两套视觉、28 个版式和校验脚本，出图用 Playwright 渲染成 PNG。

用 SQL 实时查询云资源与 SaaS API：安装插件后，AWS、Azure、GCP、GitHub、Kubernetes 等服务被映射为数据表，直接 select 取数，无需 ETL。单一二进制，内置 Postgres。

纯 C/C++ 实现的扩散模型推理工具，用 sd-cli 一条命令在本地运行 SD、FLUX、Qwen Image、Wan 等模型生成或编辑图片与短视频，Mac 可用 Metal 加速，不依赖云服务。需要自行下载模型权重，并从 Releases 下载预编译程序或自行编译。

长篇网文创作插件：问答式搭好设定与总纲，按卷纲逐章写作、审查、润色，并把角色、伏笔、时间线沉淀为可检索记忆，帮助长篇连载前后一致。需 Python 3.10+，可选配 Embedding API Key 增强检索，不配则用关键词检索。

从 Notion 读取 PRD 或功能规格，梳理需求与待澄清点，生成实施计划页并拆出任务，把规格、计划与任务互相关联并持续更新进度。收录于 OpenAI 官方插件仓库（开发者标注为 Notion），需要连接 Notion MCP。

OpenAI 官方 Codex 插件：从 BCL/FASTQ 测序数据出发，引导完成质控、RNA-seq 差异表达、单细胞、变异检测、宏基因组等分析，优先用 nf-core 等公开流程并留下可复现的运行记录。需要 Codex 和本机生信工具（插件会先检查并给出安装计划）；结果仅供科研，临床使用须专业人员复核。

OpenAI 官方 Codex 插件，以 Google Drive 为统一入口，负责搜索、整理、共享和导出云盘文件。涉及 Docs、Sheets、Slides 与评论时交给对应子技能，完成摘要、编辑和新建。需在 Codex 中授权 Google 账号。

Linear 官方出品、收录于 OpenAI 官方 Codex 插件市场：在 Codex 中搜索、创建和更新 Linear 的 issue、项目与 initiative，也能起草 PRD、撰写进展更新、整理客户需求。仅适用于 Codex，需要 Linear 账号并授权。

OpenAI 官方 Codex 插件：引导 Codex 在网站代码里接入 OpenAI Ads 测量像素和可选的转化 API（CAPI），附本地校验脚本与密钥、去重处理指引，用来统计广告转化。需要网站源码仓库和 OpenAI Ads 广告账户，上线前需人工审查。

在 Codex 里按 OpenAI 最佳实践开发：调用 OpenAI API、用 Agents SDK 构建和部署代理、搭建 ChatGPT App 并生成提审材料，可直接创建 API Key。OpenAI 官方维护，仅支持 Codex。

创建、修改与校验可复现的 Python / SQL Jupyter Notebook：按分析报告或教程结构组织单元格，结论对照实际输出，交付前从头到尾执行一遍。OpenAI 官方维护，属于 openai/plugins 的 Data Analytics 插件。

OpenAI 官方 Codex 插件：内置约 50 个技能，按问题路由检索遗传学、组学、通路、蛋白结构、化学与临床证据，可用并行子代理分头取证，再综合成有出处的结论。

OpenAI 官方 Codex 插件：通过本机 Zotero 桌面端的本地 API 检索文献库、导出 BibTeX、向 LaTeX 或 Markdown 草稿插入引用，并在确认后导入新文献。需安装 Zotero 桌面端。

OpenAI 官方 Codex 插件，含 18 项技能：为数据选图并设计、实现、测试与导出网页图表、地图、仪表盘、甘特图与 UML，支持 D3、Vega-Lite、Three.js，重视无障碍与响应式。仅支持 Codex。

OpenAI 官方 Codex 插件市场收录的 Notion 插件（开发者标注为 Notion）：接入 Notion 连接器与托管 MCP，可搜索并更新工作区页面，内含需求转实现计划、调研成文、会议准备与知识沉淀四个技能。仅适用于 Codex，需授权 Notion 账号。

OpenAI 官方网页数据可视化技能组，共 18 个：图表选型与点评、D3、Canvas、Three.js、地图、统计不确定性、实时看板、甘特图、UML 与滚动叙事等。随 Codex 插件发布，单独安装时拿不到插件级参考资料。

用 OpenAI Apps SDK 搭建、重构与排查 ChatGPT 应用：规划工具、生成 MCP 服务器与界面组件脚手架，并对照官方文档校验。OpenAI 官方维护，原 openai/skills 中的 chatgpt-apps。

测试与调试本地运行的前端页面：优先用 Codex 的 Browser 插件、没有则用 Playwright，检查空白页、框架报错与控制台错误，截图取证，改完重载复查并输出 QA 报告。OpenAI 官方维护，原 openai/skills 中的 playwright-interactive。

OpenAI 官方生命科学技能组：49 个技能用 Python 脚本查询 UniProt、ClinVar、gnomAD、AlphaFold 等公共数据库，另有路由技能拆解问题、规范实体并汇总有出处的证据。主要按 Codex 编写。