Skills
收录 97,222 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
云与 DevOps
OpenAI API（developers.openai.com）的运维与管理参考。涵盖 Administration API、admin API keys、RBAC、roles、groups、invites、projects、spend limits、audit logs、usage / costs API、Terraform provider（openai/openai）、workload identity federation（WIF、OIDC / SPIFFE / X.509 / Idira）、moderation API、misalignment monitoring、safety alerts / cases、安全最佳实践、under-18 指南、ZDR Private Safety Processing（PSP）、生产最佳实践、部署清单、成本 / 延迟优化、fast / ultrafast mode、Realtime API 成本。rate limits、error handling、prompt caching、webhooks 请参阅 openai-api-core；Codex WIF 与管理请参阅 openai-codex。
在启动云 VM、Kubernetes pod 或 Slurm 作业以运行 GPU/TPU/CPU 工作负载，在云 GPU 上训练或微调模型，部署带自动扩缩容的推理服务（vllm、TGI 等），编写或调试 SkyPilot 任务 YAML 文件，使用竞价/可抢占实例节省成本，比较各家云的 GPU 价格，跨 25 家以上云、Kubernetes、Slurm 和本地集群管理算力并在它们之间故障转移，排查资源可用性或 SkyPilot 错误，优化成本与 GPU 可用性，或将现有 Slurm 工作负载迁移（把 sbatch 脚本、salloc 会话、作业数组或 srun 调用转换为 SkyPilot 任务 YAML，并将 Slurm 命令、指令和 SLURM_* 环境变量映射到对应的 SkyPilot 等价物）时使用。
用户想调用只读 doca_caps 命令行工具，查询 DOCA 在此主机上检测到的内容时使用：列出 DOCA 设备和 PCIe 地址、列出 representor 设备、查询当前操作系统可用的 DOCA 库、检查每个设备和库的功能、将输出限定到特定 PCIe 地址，或捕获无副作用的功能快照用于调试或安装冒烟测试。即使用户未明确提及“doca_caps”或“功能打印工具”，也应触发；常见隐含说法包括“DOCA 在这台机器上实际检测到了什么”“DOCA 能看到我的 BlueField PF 吗”“我的 RHEL 主机上能用 Flow 吗”“枚举 pf0 的 VF representor”“doca_caps：找不到命令”或“RDMA 输出为空，是工具坏了吗”。DOCA 安装（由 doca-setup 负责，切勿指导安装步骤）、库内部功能矩阵（Flow pipe 创建、RDMA verbs 功能）、流式遥测 / DTS 或修改随附二进制文件的问题，应拒绝并转交其他技能
当用户在处理工作负载周边的 DOCA 环境时使用此技能：验证安装是否正常，准备构建环境（pkg-config、headers、LD_LIBRARY_PATH、hugepages、devlink、representors），调试环境类故障，决定容器或裸机部署形式，或通过 NGC DOCA 容器 Stage-1 回退方案，从尚未安装 DOCA 的主机访问 DOCA 安装。即使用户未明确提及“DOCA setup”，也应触发；常见隐含表述包括“刚拿到 BlueField，接下来怎么办”“代码已经构建，如何运行”“pkg-config 找不到 doca-flow”“没有可用的 2048 kB hugepages”“找不到 representor X”或“我在 Mac 上，想了解 DOCA”。对于库 API 细节（Flow pipes、RDMA queues）、修改示例并构建首个应用的工作流或程序端 DOCA_ERROR_* 调试，以及“哪里有 X 的文档”知识地图问题，应拒绝并转交其他技能。
本技能指导在 EdgeOne Pages 上开发全栈功能，包括 Edge Functions、Cloud Functions（Node.js / Go / Python 运行时）、Middleware、KV Storage 和本地开发工作流。用户希望专门在 EdgeOne Pages 上创建 API、无服务器函数、中间件、WebSocket 端点或全栈功能时使用，例如“创建 API”“添加无服务器函数”“编写中间件”“构建全栈应用”“添加 WebSocket 支持”“设置边缘函数”“使用 KV 存储”“创建 Go API”“构建 Python 后端”“在 EdgeOne Pages 上使用 Flask/FastAPI/Gin”。Next.js API routes、Next.js middleware、Nuxt server routes 等框架原生功能，或在 EdgeOne Pages 项目之外进行通用 Express/Koa 开发时不要触发。部署任务不要触发——请改用 edgeone-pages-deploy。其他平台（Cloudflare Workers、Vercel Functions、AWS Lambda）不要触发。
此技能用于为 OpenClaw 安装和配置 **Tablestore Mem0** 插件。Tablestore Mem0 使用 Alibaba Cloud Tablestore 作为 mem0 的向量存储后端，为 AI Agent 提供持久化的长期记忆。用户希望 OpenClaw 使用 Alibaba Cloud Tablestore 作为后端来持久化或管理长期记忆时使用此技能。触发语：“设置 tablestore memory”“安装 tablestore mem0 插件”“使用 tablestore 配置长期记忆”“记住这个”。
生成完全可编辑的 SVG 架构图，云图使用原生 AWS、Azure 和 GCP 图标，其他图使用手绘风格通用图标。可选提供自包含的可编辑 draw.io mxGraph 配套文件。确定性布局自动计算区域嵌套和正交布线，而非手动放置坐标。触发词："architecture diagram"、"infra diagram"、"system diagram"、"deployment diagram"、"topology diagram"、"draw architecture"、"AWS diagram"、"Azure diagram"、"GCP diagram"、"cloud infrastructure diagram"、"VPC diagram"、"draw my AWS setup"。适用于用户想要一张之后仍能在 Figma、Illustrator、Inkscape 或 draw.io 中编辑的静态架构图时。不用于架构评审，请使用 architecture-reviewer。
全面的基础设施工程能力，涵盖 DevOps、云平台、FinOps 和 DevSecOps。平台：AWS（EC2、Lambda、S3、ECS、EKS、RDS、CloudFormation）、Azure 基础服务、Cloudflare（Workers、R2、D1、Pages）、GCP（GKE、Cloud Run、Cloud Storage）、Docker、Kubernetes。能力：CI/CD 流水线（GitHub Actions、GitLab CI、Jenkins）、GitOps、基础设施即代码（Terraform、CloudFormation）、容器编排、成本优化、安全扫描、漏洞管理、密钥管理、合规（SOC2、HIPAA）。操作：部署、配置、管理、扩展、监控、保护和优化云基础设施。关键词：AWS、EC2、Lambda、S3、ECS、EKS、RDS、CloudFormation、Azure、Kubernetes、k8s、Docker、Terraform、CI/CD、GitHub Actions、GitLab CI、Jenkins、ArgoCD、Flux、成本优化、FinOps、预留实例、竞价实例、安全扫描、SAST、DAST、漏洞管理、密钥管理、Vault、合规、监控、可观测性。适用于：部署到 AWS/Azure/GCP/Cloudflare、设置 CI/CD 流水线、实施 GitOps 工作流、管理 Kubernetes 集群、优化云成本、落实安全最佳实践、管理基础设施即代码、容器编排、合规要求、成本分析与优化。
当用户希望将调用 OpenAI、Gemini/Google AI 或 Anthropic API 的代码迁移到 Amazon Bedrock 时使用——仅涉及模型/SDK 重写。端到端流程：评估代码库、重写 SDK 调用、对照 Bedrock 评估输出质量，并交付可合并的 git 分支。不适用于 Agent 运行时选择、Agent 架构决策或 Agent 迁移规划——这些情况请使用 agent-advisor。不适用于单独估算 Bedrock 成本或仅迁移基础设施。必须同时安装 gcp-to-aws skill——评估完全通过跨 skill 调用委托给它；若缺少 gcp-to-aws，则没有独立备用方案。
全面的 CI/CD 流水线利用方法论，涵盖 GitHub Actions 注入向量（通过 PR 标题与 issue 正文的表达式注入、滥用 workflow_run 事件、GITHUB_TOKEN 权限过大、复合 action 供应链投毒）、Jenkins 攻击路径（Groovy 沙箱逃逸、脚本控制台远程代码执行、Java remoting 反序列化、凭据存储转储、共享库注入）、GitLab CI 利用（YAML 锚点注入、runner 注册令牌滥用、CI 变量窃取、通过合并请求流水线绕过受保护分支）以及 Azure DevOps 流水线 Agent 失陷与服务连接窃取。包含跨所有平台的产物投毒技术、gato 与 jenkins-attack-framework 的工具使用指导，并映射到 MITRE ATT&CK T1195.002（供应链失陷：软件供应链失陷）。涵盖流水线配置枚举、从贡献者到代码执行的权限提升、穿越流水线信任边界的横向移动，以及通过修改工作流定义实现持久化。每个技术小节均提供可用的利用代码、检测指标与防御对策。
针对所有主流平台 CI/CD 环境的全面密钥窃取方法论。涵盖从构建上下文中提取环境变量、利用 vault 与密钥管理器配置错误（HashiCorp Vault、AWS Secrets Manager、Azure Key Vault、GCP Secret Manager）、滥用 runner 与 agent 令牌进行横向移动、利用 CI/CD 提供商与云平台之间信任关系的 OIDC 联合身份攻击、针对意外暴露凭据的构建日志泄露分析、用于凭据外泄的缓存投毒技术、平台特定的凭据存储利用（GitHub Actions secrets、GitLab CI variables、Jenkins credential providers）、Azure DevOps 与 GCP 中的服务连接与服务账号滥用，以及从构建环境窃取 Docker 镜像仓库凭据。映射到 MITRE ATT&CK T1552（Unsecured Credentials）及其子技术。每个小节均提供枚举流程、提取技术，以及利用所获密钥扩大访问范围的后渗透横向移动指导。
针对 Docker、containerd 与 Podman 运行时的容器逃逸与突破技术。涵盖通过挂载宿主机文件系统与 nsenter 实现的特权容器突破、通过 /var/run/docker.sock 滥用 Docker socket、利用 Linux capability（包括 CAP_SYS_ADMIN、CAP_SYS_PTRACE 与 CAP_NET_ADMIN）、cgroup v1 notify_on_release 逃逸、runc CVE（如 CVE-2019-5736 与 CVE-2024-21626 Leaky Vessels）、在容器内实施内核漏洞利用，以及 --privileged 与共享宿主机命名空间等 Dockerfile 配置错误。包含使用 capsh、amicontained、deepce、CDK 与 nsenter 进行枚举。映射到 MITRE ATT&CK T1611 Escape to Host。当项目范围包含容器突破、Docker 逃逸、容器权限提升、从容器访问宿主机，或当你落入容器化环境并需要触达底层宿主机时，使用本技能。
在终端中使用 `polylane` CLI 驱动 Polylane——调查生产问题、事件和告警；搜索日志并查询指标；探索云资源、服务和依赖关系图；查看部署了什么；搜索代码；保存记忆；连接可观测性工具和云账户；并与 Polylane Agent 驱动线程。当工作在 shell 或脚本中进行、用户要求使用 CLI，或 Polylane MCP 工具未连接时使用——用于调试生产、查找服务或资源、搜索代码库、管理集成、连接云提供商，或与 Polylane Agent 对话。请检索（`--help`、`polylane api describe`）——切勿猜测命令或标志。
使用此技能在主机或 BlueField 上部署和运行基于 CollectX (clx) 的 DOCA 遥测收集器：将提供程序／计数器接入收集器、运行收集守护进程，并配置其导出器（Prometheus 拉取、Fluent Bit 推送、NetFlow、文件／IPC），使指标实际离开设备。即使用户没有提及 CollectX 或 clx，也应触发；隐含表述包括：{收集器没有向下游输出任何内容}、{向 clx 收集器添加提供程序}、{启用 Prometheus 端点}、{从 DPU 将计数器发送到 Fluent Bit}、{守护进程已启动但没有出现架构行}。此技能负责 CollectX 收集机制，以及操作人员对 doca-telemetry／doca-telemetry-exporter 的使用；它会将产品化的 DOCA Telemetry Service (DTS) 引导至公开文档（AGENTS.md Non-goal #7），将读取器 API 引导至 doca-telemetry，将发布器 API 引导至 doca-telemetry-exporter。不要臆造 clx 符号、提供程序名称、架构字段、标志或配置路径；应说明所属类别并引导至最新来源。
在 BlueField（Argus、DMS、Firefly 或 UROM 服务）上以容器方式运行捆绑的 DOCA 服务：由独立 kubelet 监视 static-pod 清单目录、放置 YAML pod-spec、查看 kubelet 状态 / ENTRYPOINT 日志 / 各服务存活状态。即使未提及容器部署，遇到“如何在 BlueField 上运行我构建的服务？”“pod-spec YAML 应放在哪里？”“pod 卡在 Pending / ImagePullBackOff / CrashLoopBackOff”“容器显示 Running 但服务尚未就绪”“编辑后 pod 不断重启”或“同时运行 DMS 和 Firefly”时触发。在主机或 Arm 上直接启动的 DOCA 链接二进制应使用 doca-bare-metal-deployment。涵盖批量操作前的冒烟测试，以及分层错误分类（pod-spec、调度、镜像拉取、运行时、挂载、网络、版本、主机）。对于各服务配置架构、DOCA 安装、库 API 问题、外部 NVIDIA 服务（BlueMan、HBN、SNAP、Virtio-net）或完整 Kubernetes 集群运维，拒绝并转交其他技能
在华为云 Flexus L 实例上部署 AI Agent 开发平台（Dify），提供部署操作、密码管理、MaaS 模型配置与工作流导入能力。触发关键词：deploy flexusagent/一键部署Flexus AI Agent开发平台、change password/修改开发平台管理员密码、change dify password/修改dify平台密码、add maas provider/添加MaaS模型供应商、configure maas model/配置MaaS模型、view workflow/查看AI Agent工作流、import workflow/导入AI Agent工作流
用于 SDK 设置的 OpenTelemetry 声明式 YAML 配置。在配置 OpenTelemetry SDK 提供程序（tracer、meter、logger）、设置 OTLP exporter、定义采样策略，或编写 otel 配置文件时使用。触发于"otel config"、"OpenTelemetry YAML"、"declarative configuration"、"otelconf"、"OTEL_CONFIG_FILE"、"file_format"、"configure tracing/metrics/logs export"，或当用户通过配置文件而非代码设置遥测管道时。
借助 Polylane 平台调查生产环境并评估生产影响。适用于调试任何线上问题——生产故障、中断、错误激增、延迟回退或部署失败；从日志、指标、链路追踪或告警中定位根因；回答“哪里坏了”“改了什么”或“生产是否受影响”；探索云基础设施、服务或依赖拓扑；以及值班分诊、事后复盘、回滚和修复。也应在做出或发布任何代码或基础设施变更之前使用，以对照实际运行环境检查其影响范围。覆盖整个平台——上下文图（云、集成、拓扑、仓库、记忆）、检测（问题、变更智能、公告）、调查（线程、信息流、升级）与修复（自动修复）——以及连接技术栈并查询。请从 Polylane 文档中检索——切勿猜测命令或 schema。
通过 `hogli devbox:*` 命令启动、连接并排查 PostHog devbox —— 一个用于 PostHog 开发、也能运行完整技术栈的远程 Coder 工作区。当被要求启动或恢复 devbox、在其上打开 shell 或编辑器、在其上运行命令、将本地检出镜像到其上（devbox:sync）、在其上运行 PostHog 应用并分享链接、克隆、更新、分享或释放 devbox 磁盘，为其存储 gh 或 Claude Code token，或诊断失败的 devbox 命令（tailnet、DNS、Coder CLI 版本、SSH）时使用。不适用于在本地机器上运行技术栈，或修改 posthog-cloud-infra 中的 Coder 模板。
将 Depot 管理的 GitHub Actions 运行器配置为 GitHub 托管运行器的直接替代品。在设置或迁移 GitHub Actions 工作流以使用 Depot 运行器、选择运行器规格（CPU/RAM）、配置 runs-on 标签、设置 ARM 或 Windows 或 macOS 运行器、排查 GitHub Actions 运行器问题、配置出口过滤、将 Depot Cache 与 GitHub Actions 配合使用，或在 Depot 运行器上运行 Dagger/Dependabot 时使用。当用户提到 depot-ubuntu、depot-windows、depot-macos 运行器标签，或询问更快/更便宜的 GitHub Actions 运行器时也使用。不适用于 Depot CI —— 那个读取 .depot/workflows/ 的独立引擎属于 depot-ci 技能。
Kubernetes 集群攻击技术，涵盖从 Pod 内初始立足点到集群范围沦陷的完整攻击生命周期。涵盖服务账号令牌窃取与冒充、RBAC 配置错误利用（包括通配符权限与通过角色绑定提权）、直接访问 etcd 提取 Secret、滥用 10250 端口与只读端口 10255 上的 kubelet API、通过 hostPID、hostNetwork 与 hostPath 卷挂载逃逸 Pod、Kubernetes Secret 枚举与解码、准入控制器绕过技术、网络策略绕过与横向移动、从 Pod 访问云元数据服务以在 AWS EKS、GCP GKE 与 Azure AKS 上窃取凭据、滥用 CRD 与 Operator 实现持久化，以及通过部署 DaemonSet 攻陷节点。工具包括 kubectl、kube-hunter、peirates、kubeaudit、kdigger、kubeletctl。对应 MITRE ATT&CK T1609 容器管理命令、T1610 部署容器、T1613 容器与资源发现。在评估 Kubernetes 集群、从被攻陷的 Pod 内部发起攻击、利用 RBAC 或 kubelet 配置错误，或执行云原生横向移动时使用此技能。
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。