適合安全的工具

在会话内调度多个子代理梳理架构、建威胁模型、全面排查漏洞。每条发现都要先经独立复核才写进报告，报告另附 SARIF，还可以生成补丁文件由人决定是否应用。Anthropic 官方插件，需要 Python 3.9+。

安全公司 Trail of Bits 出品的技能合集，40 多个插件覆盖代码审计、CodeQL/Semgrep 静态分析、差异评审、智能合约与密码学审计、模糊测试等，也可作为 Claude Code / Codex 插件市场安装。

面向编码 agent 的整套 harness：打包数十个子代理、近 300 个技能、钩子、规则、记忆与持续学习，并附带 AgentShield 安全扫描；以 Claude Code 为主，也支持 Codex。

收录 2400 多个可安装的 SKILL.md 技能，覆盖开发、安全、云与运维、AI、营销等领域；附 AAS Core 本地 MCP 与安装器，帮 agent 检索、挑选技能并预览安装计划。原名 antigravity-awesome-skills。

多宿主插件市场，含 90 余个单一用途插件、200 余个子代理与 180 余个技能，覆盖语言开发、运维、安全、数据与多代理编排；安装插件时只加载该插件的内容。

wshobson/agents 插件市场中 90 余个插件附带的 180 余个技能，覆盖多语言与框架开发、测试、运维、安全、数据与大模型应用。可用 npx skills 或 gh skill 按需单装，只装技能，不含子代理与命令。

面向欧盟 GDPR 的数据合规技能：梳理合法处理依据、同意管理、数据主体访问与删除请求、数据保留和泄露通报，附合规检查清单与示例代码，便于法务和研发共同评审隐私合规。装进 Claude Code 或 Codex 即可用，无需账号或 API Key；内容为英文，结论需律师复核。

wshobson/agents 市场中的安全插件：提供 SAST、依赖漏洞扫描与安全加固命令，附安全审计员与威胁建模子代理，以及 STRIDE、攻击树等威胁分析技能。

一站式安全扫描器：检查容器镜像、文件系统、Git 仓库与 Kubernetes 集群中的已知漏洞、IaC 错误配置、泄露密钥与软件许可证，并能生成 SBOM。Aqua Security 开源维护。

对 agent 写的代码做三层安全检查：编辑时按规则提示约 25 种危险写法，回合结束时让模型评审 diff，提交时由代理追踪跨文件漏洞（如 IDOR、SSRF）。Anthropic 官方插件，需要 Python 3.8+ 与可用的模型 API 通道。

HashiCorp 的密钥管理系统：vault 命令行可读写密钥、按需签发数据库与云平台的动态凭据、加解密数据并管理租约与吊销。需要连接可用的 Vault 服务端。

社区维护的网络安全技能库，800 多个技能覆盖威胁狩猎、应急取证、渗透测试、云安全等 34 个领域，并映射 MITRE ATT&CK 与 NIST CSF。非 Anthropic 官方，进攻类技能仅限授权测试使用。

基于 YAML 模板的高性能漏洞扫描器：配合社区贡献的模板库，在 HTTP、DNS、TCP、SSL 等协议上检测已知漏洞，支持自定义模板并可接入 CI/CD。仅用于已授权的目标。

检测 Git 仓库、目录文件与标准输入中硬编码的密码、API Key 和令牌，可配成 pre-commit 钩子或 GitHub Action 拦截密钥泄露。已宣布功能冻结、只发安全补丁，作者转向 Betterleaks。

在 Git、GitHub、S3、文件系统等来源中查找泄露的凭据，可识别 800 多种密钥类型，并登录对应服务验证密钥是否仍然有效，减少误报。

Anthropic 官方运营插件里的合规技能：梳理 SOC 2、ISO 27001、GDPR、HIPAA、PCI DSS 等框架的控制项、负责人与证据，安排审计日程并做差距分析，输出审计准备清单与证据收集计划。结论需法务或合规专业人员复核。

评测与红队测试大模型应用的 CLI 与库：批量对比提示词与模型输出、扫描安全漏洞、接入 CI/CD，评测在本地运行。已并入 OpenAI，仍以 MIT 协议开源。

开源逆向工程框架与命令行：反汇编、调试、模拟执行与修改二进制，支持多种架构和文件格式，可通过 r2pipe 或内置 JavaScript 脚本化调用。

加密 YAML、JSON、ENV、INI 等配置文件中的密钥值，支持 AWS / GCP / Azure KMS、age 与 PGP，让密钥可以安全地和代码一起存进 Git。CNCF 沙箱项目。

Semgrep 官方 MCP 服务器，已并入 semgrep 主仓库，通过 semgrep mcp 启动：让 agent 对代码做静态安全扫描、用自定义规则查找问题并查看语法树。需先安装 Semgrep CLI；接入 AppSec 平台需 SEMGREP_APP_TOKEN。

语义化的多语言静态分析工具：用写法接近源码的规则查找漏洞与缺陷，支持 30 多种语言与自定义规则，默认在本地扫描、不上传代码。跨文件分析与 Pro 规则需登录。

对 AWS、Azure、GCP、Kubernetes、GitHub、M365 等环境做安全基线与合规检查，内置 CIS、NIST、PCI-DSS、SOC2 等框架，可以生成报告，也能打开本地看板。需要先配置对应云账号的凭证。

经典的网络探测与安全审计工具：主机发现、端口扫描、服务版本与操作系统识别，并可用 NSE 脚本做漏洞检测。只应扫描已获授权的网络。

扫描容器镜像、文件系统目录与 SBOM 中的已知漏洞，覆盖主流 Linux 发行版软件包和多种语言依赖，支持按 EPSS、KEV 排序风险，也支持用 OpenVEX 过滤结果，适合在 CI 中做漏洞门禁。由 Anchore 官方维护。