Skills
收录 96,770 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
云与 DevOps
Microsoft Defender for Containers 指南——覆盖 AKS、已启用 Azure Arc 的 Kubernetes、EKS、GKE 和 OpenShift 的 Kubernetes 与容器安全。涵盖无代理发现、针对镜像和运行中容器的无代理漏洞评估（由 Microsoft Defender Vulnerability Management 提供支持）、通过 Defender 传感器（Linux 上的 eBPF）实现运行时威胁检测、使用 Azure Policy / Gatekeeper 实现 Kubernetes 数据平面加固、针对 ACR / ECR / GAR 的注册表扫描、准入控制、攻击路径分析，以及 Sentinel 集成。WHEN：Defender for Containers、AKS 安全、容器运行时威胁检测、Kubernetes 准入控制、镜像漏洞扫描、ACR 扫描、Defender for Cloud 中的 EKS GKE 安全、K8s 态势、容器攻击路径、Defender 容器传感器、Gatekeeper Azure Policy AKS、无代理容器扫描。DO NOT USE：用于 VM/主机加固（请使用 defender-for-servers）、AKS 网络设计（请使用 azure-network-security-design），或与安全无关的一般 AKS 日常运维。
Microsoft Defender for Servers（Plan 1 和 Plan 2）指南——Microsoft Defender for Cloud 中针对服务器的保护。涵盖计划选择、无代理与基于代理的扫描、MDE for Servers 集成、文件完整性监控（通过 MDE 实现 FIM）、VM 实时访问（JIT）、漏洞评估、自适应应用程序控制、网络加固，以及免费向 Sentinel/Log Analytics 摄取数据。适用于 Azure VM、已启用 Azure Arc 的服务器（本地、AWS EC2、GCP Compute）和 Azure VMSS。WHEN：Defender for Servers、MDE for Servers、服务器 EDR、FIM、文件完整性监控、JIT VM 访问、实时访问、无代理扫描服务器、VM 漏洞评估、混合服务器保护、已启用 Arc 的服务器安全、Defender for Cloud 中的 AWS EC2、Defender for Cloud 中的 GCP Compute、Azure 服务器加固、服务器 Plan 1 与 Plan 2 对比。DO NOT USE：用于端点客户端设备（请使用 defender-for-endpoint）、通用 Azure 资源态势（请使用 defender-for-cloud-hardening），或容器主机（请使用 defender-for-containers）。
Microsoft Defender for Storage 指南——针对 Azure 存储账户（Blob、Files、Data Lake Gen2）的威胁防护。涵盖 v2（按存储账户）计划、由 Defender Antivirus 提供支持的按上传恶意软件扫描、敏感数据威胁检测（与 Purview 分类集成）、基于活动的威胁检测、按存储账户覆盖设置、排除高流量账户、用于扫描结果的 Event Grid 集成，以及成本控制（按 GB 的扫描上限）。WHEN：Defender for Storage、Azure 存储恶意软件扫描、Blob 恶意软件扫描、敏感数据威胁检测、按上传扫描、Defender for Storage v2、存储账户威胁防护、扫描结果 Event Grid、Purview 分类存储、恶意 Blob 上传、存储数据外泄警报、不可信上传扫描。DO NOT USE：用于 SQL/Cosmos DB 保护（请使用 defender-for-cloud-hardening）、VM 磁盘恶意软件（请使用 defender-for-servers 无代理扫描），或 M365 SharePoint/OneDrive（请使用 defender-for-office-365）。
诊断并修复当前分支上最近一次失败的 GitHub Actions CI 运行。通过 GitHub CLI 获取失败运行的日志，定位根本原因（失败的测试、编译错误、lint 违规等），在本地工作树中应用针对性修复，并且——仅在用户确认后——提交并推送。当有人说 'fix the CI'、'fix the failing action'、'the build is red'、'javítsd a CI hibát'、'piros a build'，或粘贴当前分支失败的 Actions 运行 URL 时使用。拒绝在受保护分支（main、master、develop）上运行。
在设置 GPC（Google Play Console CLI）时使用：使用服务账号、OAuth 或 Application Default Credentials 进行身份验证；配置文件（.gpcrc.json、环境变量、XDG 路径）；认证配置文件；运行 gpc doctor；排查认证错误。只要用户提到 gpc auth、gpc setup、服务账号设置、gpc config、gpc doctor、GPC_SERVICE_ACCOUNT、gpc auth login、gpc auth clear-cache、令牌缓存、Google Play API 凭据、Play Console 身份验证、下载批量报告权限、报告存储桶访问、GPC_REPORTS_BUCKET，或者想要安装/配置 GPC，就务必使用此技能——即使他们没有明确说“setup”。当有人排查认证失败、令牌过期、钥匙串问题或 GPC 的代理/网络配置时也应触发。
使用 Grafana 实例——搜索和读取仪表盘、运行数据源查询（Prometheus、Loki、PostgreSQL 等）、检查告警规则和静默、发布注释，以及管理文件夹。当用户提到 Grafana 仪表盘、面板或告警，粘贴 Grafana URL，询问“这个仪表盘显示什么”、“在 Grafana 中查询这个指标”、“这个告警是否正在触发”、“静默这个告警”，或想要创建/导出仪表盘时都可以使用——即使用户没有提到“API”。与此服务交互时始终从这个技能开始——它自带的脚本和配方是最快的路径。
在远程服务上部署和管理 Hermes Agent（Nous Research）。这是一款具备内置学习循环的自我改进型 AI Agent，支持多平台消息网关（Telegram、Discord、Slack、WhatsApp、Signal、Mattermost）、cron 调度、MCP 集成和持久记忆。支持 Docker、裸机和 systemd 部署。适用于：将 hermes-agent 部署到服务上、配置 hermes 消息网关、管理 hermes 安装、排查 hermes 问题、从 OpenClaw 迁移到 hermes、设置 hermes cron 作业，以及任何涉及 hermes-agent 部署和运维的任务。关键词：hermes、hermes-agent、nous research、AI agent、消息网关、自我改进型 Agent、openclaw 迁移。
在 Azure 上保护基础设施即代码（Bicep、ARM、Terraform 以及 ACI/Container）流水线的指南——左移扫描、策略即代码、密钥卫生、流水线身份、漂移检测和供应链。涵盖 Microsoft Defender for Cloud DevOps Security（GitHub / Azure DevOps 连接器）、Microsoft Security DevOps（MSDO）扩展、Bicep linter 和模板规格、Azure 上 Terraform 最佳实践（状态管理、后端加固、提供程序版本）、作为部署时和 CI 时门禁的 Azure Policy、AKS 上使用 Flux/ArgoCD 的 GitOps、密钥扫描与依赖项审查、签名提交/工件签名、用于流水线身份的 OIDC 联合（无需客户端密钥），以及与 Defender for Cloud 态势的集成。WHEN：IaC 安全、Bicep 安全、Terraform Azure 安全、Defender for Cloud DevOps Security、MSDO、Microsoft Security DevOps、Azure 左移、策略即代码、OIDC GitHub Actions Azure、IaC 中的密钥、漂移检测、已签名的 Bicep、Azure 供应链。DO NOT USE：仅用于 Kubernetes 准入控制（请使用 defender-for-containers）、通用 CI/CD 设计或应用层安全。
分析已收集的 infrahub-collect 诊断包——排查服务日志中的追踪信息和故障、关联事件，并与 opsmill/infrahub GitHub issues 中的已知问题匹配。触发条件：用户表示已收集诊断包、提供诊断包路径或粘贴包内容，并询问故障原因、要求分析日志或追踪信息、询问“这个包显示了什么”、要求分流/关联错误，或询问崩溃是否为已知问题。以下情况不要触发：尚无诊断包（先使用 infrahub-collecting-diagnostics 收集）、要提交问题本身（使用 infrahub-reporting-issues），或查询实时数据（使用 infrahub-analyzing-data）
部署并使用 Multimodal Embedding Serving 微服务——用 setup.sh + docker compose 启动它（从仓库克隆，或在没有克隆时从 GitHub 获取相同文件），使用预构建的 intel/multimodal-embedding-serving 镜像，通过端口 9777 上的 REST 嵌入文本/图像/视频，在 19 个模型（CLIP/SigLIP/MobileCLIP/CN-CLIP/Blip2/QwenText）中选择，或通过 Python SDK wheel 进行进程内集成。当应用需要用于相似度搜索或检索的嵌入时使用。不适用于修改该服务的源码——那是 multimodal-embedding-serving-dev。
一次性探索网站，找到稳定的数据路径，并将其部署为可复用、参数化的 Notte Function（一个可调用、可调度并大规模运行的 HTTP 端点）。当用户想为某个网站打造、构建、生成或“烘焙”可复用的爬虫或浏览器自动化，将可用的抓取转成 API/端点/任务，或说出“我稍后要跑 N 个关键词”、“让这个可复用”、“拉取所有列表”、“每天自动化这个网站”或“构建一个从 Y 中提取 X 的函数”之类的话时使用。与 notte-functions-doctor 搭配，后者在网站变化时修复已打造的 Function。
OpenTelemetry——面向分布式系统的厂商中立可观测性框架。提供带标准化插桩和导出器的追踪、指标和日志。使用场景：用户提到 "opentelemetry"、"otel"、"distributed tracing"、"observability"，或询问 "how to trace microservices"、"opentelemetry setup"、"jaeger integration"、"prometheus metrics"。不适用于：仅应用日志——请改用日志相关技能；特定厂商的 APM——请使用厂商文档；简单监控——Prometheus/Grafana 可能已足够
使用 OpenTelemetry SDK 对应用进行埋点，并通过在本地 Kopai 后端验证来证明遥测数据可靠。适用于设置可观测性、添加追踪/日志/指标、决定埋点内容或要添加哪些属性、将 OTel 改造进现有代码库、在调用链中传递 context、配置采样，或设置后追踪/日志/指标未出现时。也适用于用户说"我的追踪没显示出来""我看不到任何数据"或"如何为我的应用添加可观测性"这类情况。不要用于排查现有遥测数据的根因（改用 root-cause-analysis）、构建仪表盘（改用 create-dashboard），或对 LLM 和 Agent 调用埋点（改用 otel-genai-instrumentation）。
PostgreSQL 运维、优化与管理。适用场景：schema 设计、索引选择、使用 EXPLAIN ANALYZE 进行查询调优、postgresql.conf 配置、备份与恢复（pg_dump、pg_basebackup、WAL、PITR）、vacuum 与 autovacuum 调优、连接池（pgBouncer、pgPool）、复制（流式、逻辑）、分区、监控（pg_stat_statements、pg_stat_activity）、JSONB 操作、全文检索（tsvector、tsquery）、行级安全（RLS）、扩展（PostGIS、pg_trgm、timescaledb）、GiST/GIN/BRIN 索引、物化视图、外部数据包装器、LISTEN/NOTIFY。
Microsoft Purview Customer Key 与 Double Key Encryption (DKE) 指南——面向服务端数据的客户可控加密（Customer Key 适用于 Exchange/SharePoint/OneDrive/Teams/Purview），以及针对高度敏感文档的客户端双重加密（DKE 通过敏感度标签和客户自托管的密钥服务实现）。涵盖 Azure Key Vault 配置（HSM 支持、可恢复、软删除、清除保护、冗余区域）、M365 服务的数据加密策略 (DEP)、密钥轮换与吊销、DKE 服务部署（容器化的密钥释放服务）、DKE 标签编写、终端用户体验权衡（无法对 DKE 内容进行 eDiscovery），以及与 Microsoft 托管加密的决策标准。适用场景：Customer Key M365、BYOK Exchange、DKE Microsoft、double key encryption、客户托管密钥 SharePoint OneDrive Teams、Customer Key 密钥轮换、HYOK 替代方案、主权加密、监管方控制的加密、敏感度标签 DKE。不适用于 Azure 资源 CMK（请使用 azure-key-vault）、一般敏感度标签（请使用 purview-information-governance）或非加密类合规（请使用 compliance-manager）。
解读 Honeycomb SLO 合规情况、预算消耗速率和触发器状态的决策启发式——这些数字意味着什么、应采取什么行动，包括检测配置错误的 SLI、判断何时冻结部署与何时呼叫待命人员，以及设计消耗告警阈值。在调用 get_slos 或 get_triggers 之前加载本技能。触发短语：“check our SLOs”“are we meeting our SLOs”“which SLOs are healthy”“is the error budget OK”“are any alerts firing”“what's the burn rate”“set up an SLO”“create a trigger”“configure alerts”“set up burn alerts”“check trigger status”“starting on-call”“reliability picture”“should we freeze deploys”“is this SLO misconfigured”“are we within budget”“SLO is broken”“budget is negative”，或任何关于 Honeycomb 中服务级别目标、错误预算、消耗速率或告警的请求。
通过 tctl 管理 Teleport 访问列表：选择授权目标前先列出可用资源（服务器、数据库、应用等），创建访问列表、更新现有列表，或删除/退役列表。适用于“授予 alice 访问权限”“创建访问列表”“常驻访问”“Access Request”“自定义访问列表”“显示/列出应用”“显示 AWS IC 权限集”“将 AWS IC 添加到此列表”“更改所有者/成员/访问权限”“移除访问权限”“删除/退役/拆除访问列表”等请求。支持 Teleport 会创建配套角色的访问类型列表，以及授予现有角色/特征的自定义列表。
Twingate GraphQL API、命令行工具与自动化。当用户想通过 API 自动化 Twingate、针对 GraphQL 端点编写脚本、生成或管理 API 令牌、使用 Twingate 命令行工具，或构建自动化流水线时加载。出现 "GraphQL"、"X-API-KEY"、"Twingate API"、"api/graphql"、"service account key"、"connector token provisioning"、"rate limiting"，或任何提到 Twingate 管理 API 的内容时也触发。还适用于：AWS 标签驱动的资源自动化（EC2/ECS/RDS 标签同步、Lambda、EventBridge/CloudWatch Events）、Twingate 命令行的 Web UI（tgcli-web、FastAPI、Docker/Kubernetes）、用于 CI runner 的 Twingate GitHub Action、Jupyter/Python API 教程，或根据 Network Events 导出生成本网络健康/洞察报告。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。