Skills
收录 96,981 个为 Agent 打包的专项能力与操作指引，复制一行命令即可安装。
安全
面向用户自有应用和 AI 编码工具的离线网络安全 Agent，通过 Penthera CLI 在本地运行；开放式研发，公开衡量结果。可通过一条命令完成设置（“set up penthera in this repo”）。扫描用户自己的线上 URL 和仓库（TLS、标头、身份验证、OpenAPI、机密信息，包括 AI 密钥，以及选择启用的注入检测）；离线检查 npm 和 Python 依赖（“is this dependency safe?”、“what changed in my deps?”、“install X safely”、“any AGPL in our deps?”）；在提交前拦截机密信息和有风险的 Agent 配置（“add a pre-commit hook”）；审计 AI 工具（“audit my MCP servers / skills / hooks”、“check this skill before I install it”）；在本地分支上修复发现的问题并重新扫描验证（“scan and fix my app”）；生成报告和证据（“report for my auditor / manager”、NIS2、SARIF、基线差异）。当用户要求扫描、审计、加固、修复或审查其自有应用、预发布 URL、localhost、仓库、依赖项或 Agent 设置的安全性时使用。未经明确授权，不要用于目标。
对已完成脱敏的文本进行残余重识别风险检查（防御性、双重用途）。当用户要求 "check residual re-id risk"、"red-team my redaction"、"what can an attacker still infer"、"is this safe to share"，或在匿名化后评估 "re-identification risk" 时使用。对脱敏后的输出重新运行 CONFIDE 检测器，以发现残留的标识符（singling-out），检查多个文件的可链接性，并可选地探测本地模型以找出仍可推断的属性类别（inference）——映射到 GDPR Art-29。仅报告风险类别/数量，绝不提供重识别方法。与 confide:anon 配合使用（在脱敏之后运行）。
检测公开可访问代码中的硬编码敏感数据（API 密钥、访问令牌、私钥、密码等）——包括前端 JavaScript、移动应用、客户端 bundle 和 HTML 模板。使用三阶段方法：侦察（找出疑似密钥）、批量验证（确认公开代码路径中的真实密钥，每批 3 个候选）和合并（整合批量结果）。需要 sast/architecture.md（先运行 sast-analysis）。将结果输出到 sast/hardcodedsecrets-results.md。在被要求查找硬编码密钥、泄露的 API 密钥或暴露的凭据时使用。
对运行中的 Agentforce Agent 执行 OWASP LLM Top 10 安全评估。触发条件：用户要求安全测试、OWASP 扫描、红队演练、渗透测试、安全评级、漏洞评估、提示词注入测试、数据泄露测试、过度自主性测试、安全态势检查或加固建议。请勿触发：用户运行功能冒烟测试或批量测试（使用 testing-agentforce）；对 .agent 文件内容进行静态安全审查（使用 developing-agentforce 第 15 节）；分析生产会话追踪（使用 observing-agentforce）；编写或修改 .agent 文件。
设置、安装并配置 CONFIDE 本地去标识化——安装 Python 依赖（natasha、scrubadub、phonenumbers、pymorphy2），确保 Ollama 可用并拉取默认的 qwen2.5:3b 模型，检测可选的 llama.cpp，并写入最优默认配置，使 confide:anon 和 confide:red 无需进一步配置即可工作。一切以本地优先；原始文本绝不离开本机。当用户说 "set up confide"、"install confide"、"configure confide de-id"、"confide setup" 或 "get confide ready" 时使用。
面向财务、内部审计和 IT 合规团队的 SOX IT 一般控制（ITGC）专家顾问。涵盖外部审计师针对 SOX 404 测试的四大 ITGC 领域——程序与数据访问、程序变更、计算机运行和程序开发——以及从财务报表确定在范围系统、设计风险与控制矩阵（RCM）、撰写控制叙述和测试脚本、评估缺陷（依据 AS 2201 和 Reg S-X 的控制缺陷 vs 重大缺陷 vs 实质性弱点）、起草整改计划、SOX 404(a)/404(b) 适用性与申报人身份、IPO 就绪时间表以及 COSO 2013 对齐。当用户提到 SOX、ITGC、IT 一般控制、404(a)/404(b)、ICFR、实质性弱点、用户访问审查、IT 中的职责分离、财务系统的变更管理控制、SOX 测试或穿行测试、PCAOB 审计或财务报告系统的季度合规时，使用此技能。
在本地对一个会话记录文件夹运行语料库规模的、仅统计的 PII 审计，并生成汇总报告——按类型和按层级的计数、每会话脱敏率分布、文档长度，以及一个粗略的残留代理指标。当用户说“audit my sessions”“scan folder for PII”“how much PII across these transcripts”“PII stats for my corpus”“is my redaction holding at scale”，或指向一个记录目录并询问其中包含多少个人数据时使用。完全本地运行——原始文本从不离开本机；报告携带零个 PII 值、记录子串或文件名（仅匿名化的 own-NN id 和计数），因此汇总结果可以安全外显。对 RED（原始）语料库运行以评估 PII 规模，或对 GREEN（已脱敏）语料库运行以检查残留泄漏。
Azure AI Face 开发的专家知识，包括故障排除、最佳实践、决策制定、限制与配额、安全性以及集成与编码模式。在使用 Face 检测、识别、验证、活体检测、PersonGroup/Directory 或 Face API 配额以及其他 Azure AI Face 相关开发任务时使用。不适用于 Azure AI Vision（请使用 azure-ai-vision）、Azure AI Custom Vision（请使用 azure-custom-vision）、Azure AI Video Indexer（请使用 azure-video-indexer）、Azure AI Document Intelligence（请使用 azure-document-intelligence）。
终极 AI 驱动的网络安全代码审查 skill。跨 8 个维度执行全面的安全审计：漏洞检测（OWASP Top 10:2021、CWE Top 25:2024）、密钥扫描、依赖/供应链分析、IaC 安全、威胁情报（恶意软件/后门/C2 检测、MITRE ATT&CK 映射）、授权验证、AI 生成代码审计与合规映射。启动 8 个并行专家 Agent 并进行加权评分（0-100）。具备框架感知的误报抑制。STRIDE 威胁建模。与 GitHub Advanced Security 互补。当用户说 "security audit"、"security review"、"cybersecurity"、"check for vulnerabilities"、"OWASP check"、"secure this code"、"find security issues"、"pentest review"、"threat model"、"security scan"、"check security"、"vulnerability scan"、"code security"、"appsec review"、"supply chain check"、"secret scan"、"hardcoded credentials" 时使用。
LINE Login（OAuth 2.1）的综合参考——授权码流程、PKCE、令牌管理、ID token JWT 验证、用户资料、机器人绑定和登录按钮设计。当用户要求“implement LINE Login”“add Log in with LINE”“set up OAuth authorization flow”“verify an ID token”“refresh an access token”“link a bot to login”“design a login button”，或提及 LINE Login、OAuth 2.1、PKCE、授权码流程、ID token JWT 验证、令牌刷新/撤销、用户资料获取、机器人绑定、SSO 登录、LIFF 认证或 LINE MINI App 认证时，应使用此技能。只要用户提及 LINE 认证、使用 LINE 的社交登录或涉及 LINE 的 OAuth 流程，即使没有明确说“LINE Login”，也始终使用此技能。
将 kube-bench 输出转化为一份完整的 CIS Kubernetes Benchmark 审计：逐条解读每个控制项的 PASS/FAIL/WARN，判断在托管集群上哪些失败是真实的，撰写修复方案，并为 SOC 2 或 PCI DSS 整理证据。适用于执行定期合规审计、分诊 kube-bench 结果、判断哪些控制项在 EKS、GKE 或 AKS 上不适用，或为审计员产出加固证据。关键词：CIS Kubernetes Benchmark、控制平面、修复、合规证据、SOC 2、PCI DSS、托管集群例外。不适用于安装和运行该工具——请使用 benchmarking-kubernetes-with-kube-bench。
把真实值放回由 GREEN（占位符）文本生成的分析中——在本地，使用用户自己的可逆映射。完成 confide 往返（脱敏 -> 云端分析 green -> 本地 rehydrate）。当用户说“rehydrate”“restore real names”“unmask the analysis”“put the names back”“de-redact this output”“reverse the placeholders”，或交给你一份满是 [CONFIDE_PERSON_0001]/[CONFIDE_DATE_0002] 的分析外加一个 *.map.json 时使用。仅在用户自己的映射上运行；映射从不离开本机；不获取也不传输任何内容。仅打印计数——绝不回显还原后的 PII。对不在映射中的占位符发出警告（可能的 LLM 幻觉）。
Web+AI 安全测试知识库。融合 WooYun 88,636 案例 + 先知 L1-L4 方法论 + GAARM 173 风险 + OWASP Top 10 (LLM/ASI/WSTG)。 TRIGGER when 任务是实战安全测试：渗透测试、漏洞挖掘/利用、红队攻防、安全审计 (SAST/DAST)、 CTF、AI/LLM 安全测试 (Prompt 注入/越狱/MCP/Agent/沙箱逃逸)。用户明确给出测试目标 (URL/代码/模型/Agent 架构) 且意图是"测试/审计/挖漏洞/利用"。 DO NOT trigger: - 安全概念讨论（"什么是 XSS"、"SQL 注入原理是什么"）→ 普通问答 - 非安全性质的 code review / debug / 性能优化 → code-audit-skill 或其他 - 修复语法错误 / 业务逻辑 bug → 普通编程协助 - 纯 Web 白盒代码审计（完整项目目录 / Source-Sink 污点分析）→ code-audit-skill - 仅引用 CVE 编号查文档 → WebSearch - Mira 内置 handbook / preview.mira.day 的 PI 红队跑测（tier/TC-ID/resume）→ mira-pi-tester - 用户要构建/维护自己的 markdown 知识库/wiki（本 skill 的"知识库"指内置只读安全语料，非用户可编辑 wiki）→ llm-wiki - 把外部 PI/越狱文章录入 Mira 红队体系（产出 handbook TC 卡）→ mira-pi-ingest 边界细则: CTF 短代码片段 + 利用思路 → 本 Skill；完整项目目录 + 系统白盒审计 → code-audit-skill
修复 action-audit 技能发现的 GitHub Actions action 问题。针对每种 action 类型应用相应的修复——对内部 `bitwarden/` action 使用 `@main` 引用、对外部 action 使用带内联版本注释的完整 SHA，或直接替换——在选定的仓库中执行并创建草稿 PR。使用本技能前请先运行 action-audit 技能以识别问题。<example> 用户：去修复审计中发现的未固定版本的 action 操作：触发 action-remediate 以应用修复并创建 PR </example> <example> 用户：在那些仓库中把 tj-actions/changed-files 替换为安全版本 操作：触发 action-remediate 以替换该 action 并创建 PR </example>
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。