mcpField
S
Skills-Security-Check

Skills-Security-Check

github.com/toolsai安全45593 次安装38 周前更新
代码仓库

关于 Skills-Security-Check

Skills-Security-Check 是用于审计技能目录的静态安全扫描工具，面向需要检查多项技能的 Agent。它结合正则启发式扫描与 Agent 对审计提示的分析，生成 HTML 报告，并可输出 JSON。

主要功能

  1. 01对技能文件进行静态扫描
  2. 02生成逐项审计提示
  3. 03要求 Agent 分析所有提示
  4. 04整合 audit.json 生成报告
  5. 05输出 HTML 仪表板和可选 JSON
  6. 06避免输出原始密钥

适用场景

  1. 01审计包含多个技能的目录
  2. 02核查扫描发现的潜在风险
  3. 03生成可供查看的安全审计报告

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/toolsai/skills-security-check --skill skills-security-check

安装后在 Claude Code 中输入/skills-security-check确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

README.md
assets/
dashboard_template.html
scripts/
scan_skills.py

详细介绍

技能：Skills-Security-Check

AI Agent 的关键指令： 你不只是一个命令运行器，而是首席安全分析师。 此工具提供数据，但提供情报的是你。

⚡️ 3 步 Agent 工作流（必须遵循）

使用此技能时，必须始终遵循此流程：

第 1 步：运行扫描器（收集数据）

运行扫描器以生成原始数据和“审计提示词”。

python3 scripts/scan_skills.py --root /path/to/target/projects

此命令会在 reports/YYYYMMDD.../prompts/ 目录中生成 *_audit_prompt.txt 文件。

第 2 步：🛑 必须进行 AI 分析（关键）

扫描器的工作已完成。现在轮到你了。 你必须处理生成的审计提示词。

选项 A（最佳）： 自动读取提示词并立即分析。 选项 B（备用）： 如果无法自动读取，你必须询问用户：

“扫描已完成。我发现生成了 {N} 个审计提示词。现在要我对它们进行 AI 安全分析吗（准确获得结果所必需）？”

要求：

  • 必须分析所有生成了提示词的技能，无论其风险等级如何。
  • 为每项技能生成 audit.json。
第 3 步：整合并呈现

再次运行扫描器。它会检测到你的 audit.json 文件，并将其整合到最终报告中。

python3 scripts/scan_skills.py --root /path/to/target/projects

扫描器现在会生成“黄金标准”仪表板并自动打开。

技术详情

  • 扫描器逻辑：基于正则表达式的静态分析。误报率较高。
  • Agent 的职责：筛除误报、提供背景信息并评估实际业务风险。
  • 输出：reports/YYYYMMDD_HHMMSS/index.html（面向用户的最终产物）。

示例场景： 用户：“审计我的技能。” Agent：

  1. 运行 scan_skills.py。
  2. 发现 zimage_audit_prompt.txt 被标记为“高风险”。
  3. 阅读提示词后，发现它只是一个 API 客户端。
  4. 编写 audit.json，将其标记为“中风险”（需要 API 密钥）。
  5. 再次运行 scan_skills.py，以完成仪表板。

运行方法

  1. 在包含多个技能的根目录上运行扫描器：
python3 /Users/mattchan/.agents/skills/skill-security-audit-dashboard/scripts/scan_skills.py \
  --root /Users/mattchan/.agents/skills \
  --out /Users/mattchan/.agents/skills/skill-security-audit-dashboard/security-dashboard.html
  1. 打开生成的 HTML 仪表板文件以查看结果。

注意事项

  • 这是静态启发式扫描，不会执行代码。
  • 扫描器不会输出原始密钥，只会报告文件位置和类别。
  • 如果还需要 JSON 文件，请传入 --json /path/to/output.json。

参数

  • --root：包含技能的根目录（默认为当前工作目录）。
  • --out：输出 HTML 仪表板的路径。
  • --json：可选的原始 JSON 输出路径。

评论

支持 Markdown