工具集

用多个并行子代理评审 PR，逐条按置信度打分、过滤误报，可把结果发成 PR 评论。Anthropic 官方插件，需要已登录的 GitHub CLI。

在会话内调度多个子代理梳理架构、建威胁模型、全面排查漏洞。每条发现都要先经独立复核才写进报告，报告另附 SARIF，还可以生成补丁文件由人决定是否应用。Anthropic 官方插件，需要 Python 3.9+。

面向编码 agent 的整套 harness：打包数十个子代理、近 300 个技能、钩子、规则、记忆与持续学习，并附带 AgentShield 安全扫描；以 Claude Code 为主，也支持 Codex。

六个专项评审子代理，分别检查注释准确性、测试覆盖、静默失败、类型设计、代码规范与可简化之处，可单独调用或一次跑全。Anthropic 官方插件。

Addy Osmani 整理的生产级工程技能包：覆盖规格、计划、实现、测试、评审到上线的全流程，配套 /spec、/plan、/build、/test、/review、/ship 等命令。同时支持 Claude Code 与 Codex。

Chrome 官方插件，打包 Chrome DevTools MCP 与无障碍、LCP、内存泄漏等调试技能：让 agent 操控并检查真实的 Chrome，分析网络请求、控制台日志和性能追踪。默认收集使用统计，可以关闭。

Vercel Labs 出品的浏览器自动化插件：让 agent 通过无障碍树快照与元素引用操作 Chrome，完成导航、点击、填表、截图，适合网页测试与探索式 QA。需先安装 agent-browser CLI（npm、Homebrew 或 Cargo）。

无障碍审查插件，含审计命令、界面校验子代理和 WCAG 2.2、读屏测试两个技能。设计走查或上线前，可让 agent 检查对比度、键盘操作与读屏兼容等问题并给出整改建议。需 Claude Code，自动化检测需本机 Node.js 环境。

基于 Claude Code 实验性的 Agent Teams 功能编排多代理团队：并行多维度代码评审、竞争假设式调试、按文件归属分工的功能开发。需先开启 CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS。

wshobson/agents 市场中的安全插件：提供 SAST、依赖漏洞扫描与安全加固命令，附安全审计员与威胁建模子代理，以及 STRIDE、攻击树等威胁分析技能。

测试驱动开发插件：/tdd-workflows:tdd-cycle 等命令按红-绿-重构分阶段推进，每阶段设检查点等待确认，附 TDD 编排与代码评审两个子代理。收录于 wshobson/agents 插件市场。

多宿主插件市场，含 90 余个单一用途插件、200 余个子代理与 180 余个技能，覆盖语言开发、运维、安全、数据与多代理编排；安装插件时只加载该插件的内容。

封装微软 Playwright MCP，让 agent 操作真实浏览器：导航、点击、填表、截图，用于端到端测试与页面验证。收录于 Anthropic 官方市场，需要 Node.js。

对 agent 写的代码做三层安全检查：编辑时按规则提示约 25 种危险写法，回合结束时让模型评审 diff，提交时由代理追踪跨文件漏洞（如 IDOR、SSRF）。Anthropic 官方插件，需要 Python 3.8+ 与可用的模型 API 通道。

160 多个 Claude Code 专业子代理，按核心开发、编程语言、基础设施、测试与安全、数据与 AI 等 10 个分类打包成插件，可按需安装。

Anthropic 官方 AI 治理插件：按内部登记册给 AI 用例分级，跨欧盟 AI 法案等适用法规做影响评估，审查供应商 AI 条款里的数据训练与责任风险，并定期检查 AI 政策与实践的偏差。

隐私合规法务插件：判断数据处理活动是否需要做 PIA/DPIA，生成隐私影响评估，按控制方或处理方立场审查 DPA，在法定时限内起草 DSAR 答复。Anthropic 官方。

安全公司 Trail of Bits 的插件市场，收录 40 多个插件，覆盖代码审计、CodeQL / Semgrep 静态分析、变体分析、供应链风险、智能合约安全与逆向分析。Codex 也可以直接加载。

对整个仓库或 PR、提交等代码变更做安全扫描，并提供威胁建模、漏洞研判、修复与复验，报告可导出 JSON、SARIF 等格式。OpenAI 官方 Codex 插件，需要开通 Codex Security 访问权限。

在安卓模拟器上复现问题：安装构建、用 adb 驱动界面、导出 UI 树、截图与抓 logcat，并用 Simpleperf、Perfetto 采集性能证据。OpenAI 官方 Codex 插件，需要 Android SDK。

让 agent 现写现跑 Playwright 脚本完成浏览器自动化：页面测试、UX 校验、多步流程，默认弹出可见浏览器并自动探测本地开发服务器。插件安装后需在技能目录执行 npm run setup。

用钩子强制 Claude Code 遵循测试驱动开发：没有失败测试就拦下实现、阻止超出测试的过度实现，可接入 lint 推动重构。需要 Node.js 22+；仍在维护，但作者建议新项目改用后续项目 Probity。

在工具调用执行前，拦截破坏性的 Git 与文件命令（如 git reset --hard、rm -rf）以及对 SSH 密钥、.env 等敏感文件的读写。它按命令语义解析，套一层 bash -c 也能识别。支持 Claude Code、Codex 等多种编码 CLI，需要 Node.js 18+。

让 Claude Code 看懂视频：用 ffmpeg 抽帧并转写带时间戳的音频，可分析本地视频或 YouTube 链接，用于审片、总结课程录像、找画面文字。需 Node.js 20+ 与 ffmpeg（YouTube 另需 yt-dlp）；转写可用免费本地 Whisper 或 Gemini、OpenAI API Key。