工具集

通过 CDP 直接控制本机 Chrome，完成导航、点击、输入、截图与数据抓取，可复用已登录会话。browser-use 官方技能，需要先用 uv 安装 browser-use 命令行。

安全公司 Trail of Bits 出品的技能合集，40 多个插件覆盖代码审计、CodeQL/Semgrep 静态分析、差异评审、智能合约与密码学审计、模糊测试等，也可作为 Claude Code / Codex 插件市场安装。

强制 agent 按红-绿-重构推进：先写测试并亲眼看它失败，再写最少的实现让它通过，未经失败验证就写出的代码一律删掉重来。出自 Superpowers 工作流。

排查疑难缺陷与性能回退的纪律化流程：先构建能稳定复现的反馈回路，再复现与最小化、提出假设、插桩验证，最后修复并补回归测试，输出中要求脱敏密钥。Matt Pocock 出品。

用 Python Playwright 脚本驱动本地 Web 应用做功能验证、界面调试、截图与浏览器日志查看，自带管理开发服务器启停的辅助脚本。Anthropic 官方技能。

YC 总裁 Garry Tan 的技能套装，用 /office-hours、/plan-ceo-review、/review、/qa、/ship 等斜杠命令扮演 CEO、工程经理、设计师、QA 与发布工程师。需要 Git 与 Bun，按 README 克隆仓库后运行 ./setup 构建安装。

覆盖定义、计划、构建、验证、评审到上线全流程的工程技能合集，配 /spec、/plan、/build、/test、/review、/ship 等命令，含 TDD、代码评审与 Web 性能审计。Addy Osmani 出品。

教 agent 高效使用 Chrome DevTools MCP：先取快照拿元素 uid 再交互、按需截图、用分页与过滤压缩大输出、查看 CSS 样式、测试浏览器扩展。需先配置 chrome-devtools-mcp 服务，Chrome DevTools 团队官方维护。

收录 2400 多个可安装的 SKILL.md 技能，覆盖开发、安全、云与运维、AI、营销等领域；附 AAS Core 本地 MCP 与安装器，帮 agent 检索、挑选技能并预览安装计划。原名 antigravity-awesome-skills。

驱动阿里开源的 ocr CLI 评审 Git 变更（工作区、单个提交或分支对比），按严重级别汇总逐行评审意见，用户要求时自动修复。需先配置 LLM 接口（Anthropic、OpenAI 等协议），缺少 CLI 时会自动安装。阿里巴巴官方维护。

agent-browser 浏览器自动化 CLI 的配套技能：引导 agent 加载与已装版本匹配的用法，完成导航、填表、截图与探索式测试，也能操作 Electron 桌面应用。需先安装 agent-browser CLI，Vercel Labs 出品。

wshobson/agents 插件市场中 90 余个插件附带的 180 余个技能，覆盖多语言与框架开发、测试、运维、安全、数据与大模型应用。可用 npx skills 或 gh skill 按需单装，只装技能，不含子代理与命令。

面向欧盟 GDPR 的数据合规技能：梳理合法处理依据、同意管理、数据主体访问与删除请求、数据保留和泄露通报，附合规检查清单与示例代码，便于法务和研发共同评审隐私合规。装进 Claude Code 或 Codex 即可用，无需账号或 API Key；内容为英文，结论需律师复核。

社区维护的网络安全技能库，800 多个技能覆盖威胁狩猎、应急取证、渗透测试、云安全等 34 个领域，并映射 MITRE ATT&CK 与 NIST CSF。非 Anthropic 官方，进攻类技能仅限授权测试使用。

按 Vercel 的 Web Interface Guidelines 审查界面代码，覆盖无障碍、焦点、表单、动画、排版、深色模式等规则，以「文件:行号」列出问题；每次审查前联网拉取最新规则。Vercel 官方维护。

Anthropic 官方运营插件里的合规技能：梳理 SOC 2、ISO 27001、GDPR、HIPAA、PCI DSS 等框架的控制项、负责人与证据，安排审计日程并做差距分析，输出审计准备清单与证据收集计划。结论需法务或合规专业人员复核。

FormatJS 官方的本地化审校技能，适合做软件本地化的译者：只读检查界面文案与译文词条的 ICU 语法、占位符、术语一致性及日期、数字、货币等区域格式，逐条附证据列出问题和最小修改建议，不改动文件。需在 Claude Code 或 Codex 中打开译文文件或代码仓库。

Playwright 官方 CLI 的配套技能：用简短命令打开页面、点击填表、快照与截图，也能编写和调试 Playwright 测试，比 MCP 方式更省上下文。微软官方维护，需要 Node.js。

Trail of Bits 出品的技能：审计 npm、PyPI、Go 依赖的供应链风险——直接依赖与整棵锁文件树的已知漏洞公告、已弃用或归档的上游、npm 发布者集中度、安装期脚本执行。需要 uv，建议配置已登录的 gh。

Trail of Bits 出品，从安全视角审查 PR、提交或 diff：结合 git blame 追溯历史、按调用方数量估算改动影响范围、检查测试覆盖缺口，输出 Markdown 审查报告。

Trail of Bits 出品的静态分析技能组：用 CodeQL 做跨过程污点追踪与数据流分析，用 Semgrep 做规则扫描，并解析、去重 SARIF 结果。需本机安装 CodeQL 或 Semgrep。

Trail of Bits 出品，从一个已确认的漏洞出发提炼根因，编写并逐步泛化 CodeQL / Semgrep 查询，在整个代码库里查找同类变体并分级报告。

Anthropic 官方的漏洞发现与修复参考实现：在仓库内用 Claude Code 技能做威胁建模、静态扫描、分诊与补丁生成，另附侦察→发现→验证→报告→修补的自主流水线（默认针对 C/C++ 内存漏洞，需 Docker 与 gVisor 沙箱）。官方已声明不再维护。

Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。