工具集

Semgrep 官方 MCP 服务器，已并入 semgrep 主仓库，通过 semgrep mcp 启动：让 agent 对代码做静态安全扫描、用自定义规则查找问题并查看语法树。需先安装 Semgrep CLI；接入 AppSec 平台需 SEMGREP_APP_TOKEN。

语义化的多语言静态分析工具：用写法接近源码的规则查找漏洞与缺陷，支持 30 多种语言与自定义规则，默认在本地扫描、不上传代码。跨文件分析与 Pro 规则需登录。

AWS 官方统一命令行，用一套命令管理 EC2、S3、IAM 等各项 AWS 服务，支持 --query（JMESPath）过滤与 JSON 输出，便于 agent 查询和变更云资源。使用前需用 aws configure 配置访问凭证。

可编程的软件交付引擎：用 Go、Python、TypeScript 等 8 种语言的 SDK 编写构建、测试与发布流程，全部在容器中运行，本地与 CI 行为一致，自带 OpenTelemetry 追踪。需要 Docker 等容器运行时。

Vercel 官方命令行，一条命令把前端与全栈项目部署上线，并管理预览环境、环境变量、域名与日志。官方维护，需要 Vercel 账号（有免费档）。

Cloudflare Tunnel 官方客户端：无需开放防火墙端口即可把本地服务暴露到公网，也能代理 SSH、RDP 等 TCP 访问。命名隧道需 Cloudflare 账号与域名，快速隧道可免登录试用。

类 jq 语法的轻量命令行处理器，可读取、修改和转换 YAML、JSON、XML、INI、CSV 等格式，支持原地编辑配置文件，单一 Go 二进制无依赖。

魔搭社区官方的大模型与多模态模型训练框架，swift 命令覆盖预训练、微调、强化学习、推理、评测、量化与部署，支持 600 多种文本模型与 400 多种多模态模型及 Megatron 并行训练，另有 Web UI。训练通常需要 GPU。

像 Git 管代码一样管理数据集和模型的版本：数据存放在 S3、GCS 等远端存储，版本信息记在 Git 仓库里。还提供可复现的流水线和本地实验追踪，改动后只重跑受影响的步骤。

为指定 AI 工具写出精准提示词：先识别目标工具、提取意图，信息不足时最多追问 3 个问题，再输出可直接粘贴的精简提示词，覆盖 ChatGPT、Claude Code、Cursor、Midjourney、Sora 等数十种工具。

多语言 git hook 管理框架：在 .pre-commit-config.yaml 里声明格式化、lint、密钥扫描等钩子，提交前自动运行，也可用 pre-commit run --all-files 让 agent 提交前自检。

开源零样本语音合成，提供 f5-tts_infer-cli 命令行，给几秒参考录音就能用相同音色朗读中英文，适合给课件、视频配音。需要 Python、PyTorch 和 FFmpeg，最好有 GPU；预训练模型仅限非商业使用，克隆他人声音须经本人同意。

按目录自动加载和卸载环境变量：进入项目时读取 .envrc（可选 .env），离开时还原，避免多个项目的配置与密钥互相串用。需先把 hook 接入 bash、zsh、fish 等 shell。

把文档站、GitHub 仓库、PDF、视频等 18 类来源整理成 Claude 等平台可用的技能包，也能导出为 RAG 分块与向量库数据；可选装 MCP 服务器，并能调用本地 Claude Code 等 agent 做内容增强。需要 Python 3.10+。

对 AWS、Azure、GCP、Kubernetes、GitHub、M365 等环境做安全基线与合规检查，内置 CIS、NIST、PCI-DSS、SOC2 等框架，可以生成报告，也能打开本地看板。需要先配置对应云账号的凭证。

面向 AI 研究的技能插件市场，近百个技能分 23 类，覆盖选题构思、微调与后训练、分布式训练、推理部署、评测到论文写作，由 autoresearch 技能统筹全流程。

覆盖 AI 研究全流程的近百个技能：选题与文献调研、微调与后训练、分布式训练、推理部署、评测、可解释性与论文写作，并由 autoresearch 编排技能串起整个研究流程。

经典的网络探测与安全审计工具：主机发现、端口扫描、服务版本与操作系统识别，并可用 NSE 脚本做漏洞检测。只应扫描已获授权的网络。

把 nmap、sqlmap、nuclei 等 150 多种安全工具封装给 agent 调度，覆盖网络侦察、Web 渗透、二进制分析与 CTF。需先克隆仓库、自行安装各安全工具并启动本地服务，仅用于已授权的测试。

让 agent 在 IDA Pro 中反编译、反汇编、查交叉引用，并重命名变量、修改类型、添加注释，支持 idalib 无界面模式。需要 IDA Pro 8.3 以上（不支持 IDA Free）；作者现推荐改用 Hex-Rays 官方 IDA MCP。

扫描容器镜像、文件系统目录与 SBOM 中的已知漏洞，覆盖主流 Linux 发行版软件包和多种语言依赖，支持按 EPSS、KEV 排序风险，也支持用 OpenVEX 过滤结果，适合在 CI 中做漏洞门禁。由 Anchore 官方维护。

gRPC 版的 curl：用 JSON 调用 gRPC 服务的任意方法（含双向流式），可通过服务反射、proto 源文件或 protoset 浏览接口定义，支持 TLS 与双向认证。

Simon Willison 开发的大模型命令行与 Python 库：在终端调用 OpenAI、Claude、Gemini 及本地模型，对话自动记入 SQLite，支持嵌入、结构化抽取与工具调用，可用插件扩展。

在部署前估算 Terraform、Terragrunt、CloudFormation 与 AWS CDK 变更的云资源费用，并按 FinOps 策略做检查，可接入终端、编辑器、AI agent 与 CI。需登录 Infracost 账号，有免费额度。