Skills

通过连续打卡、提醒与进度可视化来养成习惯

AI 自我改进 Agent v2——从错误、纠正和成功中学习。三层系统：被动捕获 + 主动检查 + 主动生成技能（灵感来自 Hermes Agent）。避免重复同样的错误，记住用户偏好，并从成功完成的任务中自动生成可复用的 Skills。

H

handoff

nulfrog / skills

将当前对话压缩为一份交接文档，供另一个 Agent 继续执行

H

health-data-dpia

mukul975 / privacy-data-protection-skills

指导针对健康与医疗数据处理的 DPIA，涵盖第 9(2)(h)-(j) 条例外、面向跨大西洋业务的 HIPAA 对照、EU CTR 536/2014 下的临床试验数据保护以及第 9(1) 条下的基因数据特殊要求。适用于医疗系统、临床研究、健康应用或医疗器械数据。关键词：健康数据、DPIA、第 9 条、临床试验、基因数据、HIPAA、病历、特殊类别。

H

hermes-tweet

davepoon / buildwithclaude

当 Claude Code 工作流需要通过原生 Hermes Agent 插件向 Hermes Agent 进行感知来源的交接，用于 X/Twitter 研究、账号上下文、监控或需审批的操作时，使用 Hermes Tweet。

财报前后股价异动提取器，K 线数据 + 反应幅度，通过 /hike-earnings-chart 显式调用

H

hiring-talent

joellewis / skill-library

使用结构化行为面试和工作样本测试设计严谨的招聘流程，用对精力、痴迷和坚持的数据驱动评估取代直觉判断。在构建面试流程、评估候选人、撰写职位描述或设计人才战略时使用。

H

hk-valuation-analyzer

yuping322 / finskills

港股估值分析器。提供港股市场整体估值水平、行业估值对比、个股估值分析等功能。支持多种估值方法和相对估值分析。

H

holo-card-studio

everettfish / holo-card-studio

利用 AI 生成的全彩浮世绘和彩色墨绘动漫插画、分层 Blender 场景、渲染、GLB 导出以及平面白色 Web 查看器，创建可收藏的镭射烫金卡和双图光栅翻转卡。适用于镭射卡、闪卡、全息卡、光栅卡、一念神魔、双形态卡、角色收藏卡，或需要保持角色高度一致的 A/B 状态切换。

H

hone

simota / agent-skills

审计 AI CLI 配置，并设计、配置或调试 Claude Code hooks。适用于 Codex/agy/Claude Code 配置审查、hook 生命周期自动化、质量门禁、MCP 治理、个人 dotfiles/shell 设置，或 macOS AppleScript/JXA 自动化。

H

honey-eco

green-pt / honey-for-devs

通过运行仓库中已提交的 EcoLogits 移植版本，报告本次会话的输出 token 与 CO₂，并给出相对无 Honey 基线所节省的 CO₂/$ 建模值——始终标注其来源的 bench 标记。适用于被问及 Honey 节省了多少、本次会话的碳/token 足迹，或将 🍯 状态栏徽章展开为完整明细时。

H

honey-gain

green-pt / honey-for-devs

显示 Honey 的基准记分板——bench/ 中按任务层级（代码、面向用户、Agent 对 Agent）提交的质量与 token 结果。仅报告可复现的已提交数字，绝不虚构按仓库的数字。当被问及 Honey 能节省多少、与 Caveman / Ponytail / 无技能基线相比如何，或要获取头条数字时使用。

H

honey-memory

green-pt / honey-for-devs

创建并维护一份随项目提交的记忆文件（PROJECT.md），让 Agent 不再在每个冷启动会话中重复发现同样的事实。仅存储稳定的、重新发现成本高、且不在代码中的上下文——架构及原因、构建/测试/运行命令、决策与死胡同——以人类可读的 markdown 记录，并随代码一同版本管理，避免其悄然腐坏。适用于被要求设置项目记忆/上下文、让 Agent 不再反复 grep 代码库、搭建或刷新 PROJECT.md / CLAUDE.md 的记忆章节，或降低冷启动重新发现成本时。仅限文字说明性上下文——绝不包含代码、配置或数据。

H

Hook Development

ovachiever / droid-tings

当用户要求“创建 hook”、“添加 PreToolUse/PostToolUse/Stop hook”、“验证工具使用”、“实现基于提示词的 hook”、“使用 ${CLAUDE_PLUGIN_ROOT}”、“设置事件驱动自动化”、“阻止危险命令”，或提及 hook 事件（PreToolUse、PostToolUse、Stop、SubagentStop、SessionStart、SessionEnd、UserPromptSubmit、PreCompact、Notification）时使用。本技能全面介绍如何创建和实现 Claude Code 插件 hook，重点讲解高级提示词 hook API。

H

hrt-backlog-reconcile

hash-id / openspec-schema

由用户触发的 openspec/BACKLOG.md 维护。将延迟切片的条目与 openspec/specs/ 中已交付的规格进行对账，提出删除现已覆盖的条目，并且仅在用户逐条确认后才编辑文件。不属于 tempa-spec 流水线的一部分。手动运行，最好紧接在 openspec 归档之后。

H

hrt-change-size-gate

hash-id / openspec-schema

在 tempa-spec schema 的 `proposal` 阶段、\"What Changes\" 列表定稿之前运行的变更规模检查。当草稿把若干各自都值得单独成项的独立变更捆在一起时，它会检测到并停下来询问用户是否拆分（默认：一个变更；Agent 绝不自行拆分）；当用户选择拆分时，它会把延迟切片记录到 proposal.md 的 Out of Scope 部分、discovery.md 的 Key Decisions 以及 openspec/BACKLOG.md。理由见 docs/research/2026-08-27-mattpocock-skills-gate-and-seams.md。

H

hugging-face-dataset-viewer

sickn33 / agentic-awesome-skills

Hugging Face Dataset Viewer

H

hum-source-criticism

asgard-ai-platform / skills

使用一手／二手分类、内部／外部批评、三角验证和错误信息检测来评估信源可信度。当用户需要判断信息是否可信、评估研究来源、核查说法真伪，或检测错误信息时使用本技能——即使用户说的是“这个来源可信吗”“这是真的吗”“这些数据有多可靠”或“帮我核查一下这个”。

H

humanizer

hash-id / openspec-schema

重写带有 AI 腔调的文字，让读起来自然，同时不改变其表达的内容。在编辑或审阅文章以处理夸大表述、销售话术、含糊来源、重复结构、AI 常用词、被动语态、赘语或聊天机器人痕迹时使用。基于 Wikipedia 的“AI 写作的迹象”。

H

humanizer

milistu / agent-skills

检测并去除文本中 AI 生成写作的痕迹。在编辑、改写、校对或审阅任何文本时使用，使其读起来更自然、更像人写的。当用户要求「humanize」文本、去除 AI 模式、让文字不那么机械、听起来更自然、避免被 AI 检测、用人类语气改写、去 slop、提升写作真实性时触发此技能。当你发现自己正在生成或编辑的文本中出现 AI 写作模式时，也主动使用。

H

hunt-aspnet

uphiago / recon-skills

专攻 ASP.NET 的攻击面分析——ViewState 反序列化（仅签名与加密）、machineKey 恢复、双解析器 MAC 绕过反模式、请求验证器绕过、trace.axd/elmah.axd 信息泄露、负载均衡下的 ViewState 跨节点故障、通过反射枚举 SafeControl、customErrors mode=Off 堆栈跟踪泄露，以及经典 Webforms .aspx/.asmx/.svc 攻击面。适用于 ASP.NET Webforms、WCF 和 SharePoint 场群。

H

hunt-brute-force

uphiago / recon-skills

排查缺失或薄弱的速率限制——登录暴力破解、OTP/2FA 暴力破解（10^6 密钥空间）、密码重置令牌暴力破解、凭证填充攻击、通过错误字符串/状态码/响应时间差异枚举用户名或邮箱、弱密码策略、缺少 CAPTCHA、通过 X-Forwarded-For 等绕过基于 IP 的速率限制，以及 ReDoS。区分硬锁定、软 IP 限流、CAPTCHA 注入和静默影子限流，避免错误得出“没有速率限制”的结论。严重程度取决于暴力破解能造成的影响（OTP→ATO = 严重）。

H

hunt-cicd

uphiago / recon-skills

搜寻 CI/CD 流水线漏洞——GitHub Actions 工作流注入（pull_request_target Pwnrequest 和 ${{ }}-into-shell）、可自托管 Runner 投毒、OIDC 信任策略滥用、Jenkins 脚本控制台 RCE 和 CVE-2024-23897 文件读取、GitLab CI Runner 令牌注册、Terraform 状态文件泄漏、构建产物／日志中的机密泄漏、流水线环境变量泄露。适用于目标拥有公开的 GitHub/GitLab 组织、暴露的 CI 仪表板（Jenkins/TeamCity/Drone/Argo），或构建产物／镜像可访问的情况。

H

hunt-cloud-misconfig

uphiago / recon-skills

搜寻云和基础设施配置错误。AWS：公开的 S3 存储桶（匿名 s3:GetObject）、权限过宽的存储桶策略（PutObjectAcl public-write）、暴露的 CloudFront 源站、公开的 Lambda 函数 URL、公开的 RDS 快照、JS 包中的 IAM 凭证、可通过 SSRF 访问的 AWS 元数据。GCP：公开的 GCS 存储桶、暴露的 Cloud Run 服务、泄露的服务账号 JSON。Azure：公开的 Blob 容器、暴露的 Function App。（Kubernetes/Docker 暴露由 hunt-k8s 负责；CI/CD 流水线攻击由 hunt-cicd 负责；获取凭证后的 IAM 权限提升由 cloud-iam-deep 负责。）检测方式：定向 dork 搜索、证书透明度查询、从 JS 包中提取密钥、扫描已知服务端口。验证：实际读取/写入数据或 RCE。适用于搜寻云原生存储和计算配置错误（S3/GCS/Blob、通过 SSRF 访问 IMDS、无服务器服务、公开的托管服务）。

H

hunt-graphql

uphiago / recon-skills

用于发现 GraphQL 漏洞的技能。基于 12 份公开漏洞赏金报告构建，涵盖通过 node() / GID 的 IDOR、包括 AI/LLM 功能在内的变更操作 IDOR、跨租户 IDOR、通过参数触发的 SSRF、批处理 DoS、查询成本绕过、通过参数触发的 SQLi、对象级授权失效、通过未限定作用域的变更操作绕过认证，以及因缺少字段级授权而导致的 PII 泄露。用于对任何目标进行 GraphQL 漏洞挖掘。

H

hunt-k8s

uphiago / recon-skills

排查 Kubernetes 和 Docker——API 匿名访问、kubelet 10250 exec（SPDY/WebSocket，不能使用普通 POST）及更简单的 /run 原语、etcd 2379 未认证访问、仪表板跳过登录、RBAC 配置错误、滥用 secret/SA-token、docker.sock 主机逃逸、runc/容器逃逸（Leaky Vessels CVE-2024-21626）、经 API server 的 nodes/proxy RCE、EphemeralContainers node-shell、滥用绑定/投射的 SA-token audience+expiry、绕过准入控制器、残留的 Helm/Tiller。当目标运行容器化基础设施、暴露 K8s 端口（6443/10250/10255/2379/8443），或云元数据暴露 K8s 服务账户时使用。

H

hunt-laravel

uphiago / recon-skills

排查 Laravel 特有漏洞——调试模式泄露（APP_DEBUG=true 会暴露完整堆栈跟踪和环境变量）、未经授权访问 Laravel Telescope/Horizon 仪表板、Ignition RCE（CVE-2021-3129）、签名 URL 操纵、滥用 Queue Worker、通过 Eloquent 批量赋值、通过 Cookie 反序列化、.env 文件暴露。目标运行 Laravel（PHP）时使用，可通过 X-Powered-By、Laravel 会话 Cookie 或 /storage/ 路径检测。

H

hunt-llm-ai

uphiago / recon-skills

排查 LLM/AI 功能漏洞——提示词注入、间接注入、通过工具调用/Markdown 外泄数据、ASCII 走私、Agent 式 AI 安全（OWASP Agentic Apps 2026，ASI01-ASI10）。模式包括：直接注入（“忽略之前的指令”）；通过模型读取的文档/网页/邮件进行间接注入；ASCII 走私（Unicode Tags 区块 U+E0000-U+E007F，对人不可见但可由模型解码）；工具调用外泄（模型有 fetch/browse 工具，攻击者注入 OOB URL，模型外泄聊天记录/机密）；Markdown 图片零点击外泄；系统提示词提取；通过 AI 的 IDOR（跨租户数据）。目标：聊天机器人、RAG、摘要器、Agent 式 Copilot、MCP 工具。检测：任何由 LLM 驱动的端点、触发 AI 处理的文档上传、带工具的自主 Agent。验证：使用 OOB/Collaborator 回调验证外泄；可逐字复现的系统提示词泄漏（运行两次）；可验证的跨租户泄漏或 RCE。编造内容不属于发现项。排查 AI 功能、聊天机器人、RAG、Agent 式系统和 MCP 时使用。

H

hunt-mass-assignment

uphiago / recon-skills

通过注入敏感字段和利用 ORM 框架来搜寻批量赋值漏洞

H

hunt-mcp-security

uphiago / recon-skills

排查 AI 工具集成系统中的 Model Context Protocol（MCP）漏洞。

H

hunt-metrics-exposure

uphiago / recon-skills

搜寻泄露 AI 使用情况、数据库连接池和运营情报的公开 /metrics、/health 和 actuator 端点

H

hunt-misc

uphiago / recon-skills

用于搜寻杂项漏洞的技能，基于 225 份公开漏洞赏金报告构建。在任何目标上搜寻杂项漏洞时使用。

H

hunt-ntlm-info

uphiago / recon-skills

排查可从互联网访问的 IIS/SharePoint/Exchange 上 NTLM/Negotiate 信息泄露。匿名捕获 NTLM Type-2 挑战会通过 AV_PAIRS 结构泄露 NetBIOS 域、内部 DNS 林、计算机名称和 AD 时间戳。默认 Windows 安装程序主机名（WIN-XXXXXXXXXXX 模式）表明配置草率。当目标以匿名方式提供 `WWW-Authenticate: NTLM` 或 `Negotiate` 标头时使用

H

hunt-prototype-pollution

uphiago / recon-skills

排查客户端和服务端原型污染，以发现 XSS、身份验证绕过和 RCE。

H

hunt-saml

uphiago / recon-skills

猎查 SAML / SSO 攻击。模式：XML 签名包装（XSW）——通过移动已签名元素，在保持 Signature 有效的同时修改 Assertion；在 NameID 中注入注释（[email protected]<!--evil-->@attacker.com → 某些解析器会识别为 [email protected]）；剥除签名（完全移除 Signature 元素，服务器本应拒绝却未拒绝）；密钥混淆（由攻击者的 IdP 签名，却被 SP 接受）；未验证受众限制；重放攻击（同一 Assertion 在有效期内被接受两次）。工具：SAML Raider Burp 扩展、samlmagic、手动 XML 操作。检测目标：任何 /saml 端点、/Shibboleth.sso、/sso/saml/、Microsoft ADFS 端点。验证方式：通过篡改 NameID 接管账户，通过篡改 AttributeStatement 注入管理员角色。适用于猎查 SSO 流程、SAML AssertionConsumerService 可访问，或将 IdP 信任链用于冒充 SP 的场景

H

hunt-websocket

uphiago / recon-skills

排查 WebSocket 漏洞——跨站 WebSocket 劫持（CSWSH）、WS 握手时缺失或薄弱的 Origin 验证、缺少逐消息身份验证、消息篡改、socket.io 命名空间/房间授权绕过，以及握手层的 Upgrade 请求走私。目标包含 WebSocket 端点（ws:// 或 wss://）、socket.io / SignalR / Phoenix Channels、实时功能、聊天、实时仪表板、通知或交易平台时使用。

H

hunting-for-defense-evasion-via-timestomping

mukul975 / anthropic-cybersecurity-skills

通过比较 $STANDARD_INFORMATION 检测 NTFS 时间戳篡改（MITRE T1070.006）

H

hunting-for-startup-folder-persistence

mukul975 / anthropic-cybersecurity-skills

通过监控 Windows 启动目录中可疑的文件创建、交叉比对 Autoruns 条目，并运行 Python watchdog 脚本进行实时文件系统监控，检测 T1547.001 启动文件夹持久化。适用于狩猎通过启动文件夹放置而能在重启后存活的恶意软件或植入物，或依据已知良好的启动基线验证 autoruns/EDR 发现时。

H

hydra-zen

d-laub / dlaub-togo

在阅读或编辑导入 hydra_zen（builds、make_custom_builds_fn、store、just、MISSING、hydrated_dataclass、kwargs_of、make_config、ZenStore、BuildsFn）的配置代码时使用，或在 hydra-zen 项目中出现 Hydra 风格的 "${...}" 插值、配置组、_target_ 块或 `builds_bases` 继承时使用。涵盖类型模型、惯用模式、类型细化陷阱，以及极端情况的 hack（部分之部分、按变体覆盖、项目级构建器默认值）。

I

ia

internetarchive / internet-archive-skills

与 Internet Archive (archive.org) 交互——使用 ia 命令行工具上传文件、下载条目并搜索档案。在处理 archive.org、归档内容或获取历史数据时使用。

I

ib-trades-history

staskh / trading_skills

从 Interactive Brokers 获取按账户、日期范围或代码筛选的成交记录。支持实时 API（约 7 天历史）和 FlexReport（完整历史）。当用户询问其交易、成交或交易历史时使用。需要在本地运行 TWS 或 IB Gateway。

I

icp-builder

victor-shulga / outbound-engine-skills

在用户要求从头构建 ICP、定义理想客户画像，或整理可供各项技能使用的 ICP 文档时使用

I

icp-validation

victor-shulga / outbound-engine-skills

用户要求根据 ICP 标准验证公司、评估契合度，或判断某家公司是否值得作为目标客户时使用。

I

id-capture-capacitor

scandit / skills

Capacitor 项目中的 Scandit ID Capture（`IdCapture`）——通过 MRZ、VIZ、条码或移动证件扫描护照、驾照、身份证、居留许可、签证。适用于集成、可受理证件与扫描器配置、已捕获字段结果处理、匿名化、附加能力（作废证件检测、欧洲驾照背面解码、AAMVA 条码验证）以及 SDK 版本迁移。

I

identity-hub

gravito-framework / gravito

身份与访问管理（IAM）专家。在实现登录、认证、RBAC 或多租户逻辑时触发。

同花顺金融数据查询，查询股票、基金、宏观经济、行业经济、新闻公告、债券、港美股及指数板块数据，同时支持智能选股、选基、宏观行业经济指标查询、金融公告资讯搜索等服务

I

image-analyzer

gooseworks-ai / goose-skills

用 AI 分析图像——提取文本、描述内容、检测对象

I

image-enhancer

prat011 / awesome-llm-skills

通过提升分辨率、锐度和清晰度来改善图像质量，尤其是截图。非常适合为演示文稿、文档或社交媒体帖子准备图片。

I

image-prompt

davidondrej / skills

为 AI 图像模型撰写四条不同的提示词。适用于图像、缩略图、横幅、Logo 或插画提示词。仅产出提示词文本。

I

impeccable

tyfarrago-hub / taste

当用户希望设计、重新设计、塑造、评审、审计、润色、澄清、提炼、强化、优化、调整、制作动画、上色、提取或以其他方式改进前端界面时使用。涵盖网站、落地页、仪表盘、产品 UI、应用外壳、组件、表单、设置、引导流程和空状态。处理 UX 评审、视觉层级、信息架构、认知负荷、无障碍、性能、响应式行为、主题、反模式、排版、字体、间距、布局、对齐、颜色、动效、微交互、UX 文案、错误状态、边界情况、i18n，以及可复用的设计系统或令牌。也适用于需要变得更大胆或更有趣的平淡设计、应该收敛的张扬设计、在实时浏览器中迭代 UI 元素，或希望在技术上令人惊叹的视觉效果。不适用于纯后端或非 UI 任务。

I

implement-authorization

igmarin / rails-agent-skills

使用 Pundit、CanCanCan 或策略对象添加或审查 Rails 授权时使用。触发词：authorization、Pundit、CanCanCan、policy、roles、permissions。

I

implement

delexw / claude-code-misc

在 thinking 模型中通过领域分析、初始化、提示词评估-优化和最终任务执行，自动处理 JIRA 工单，并具备完善的错误处理。当给定 JIRA 工单 URL（格式：https://[domain].atlassian.net/browse/[TICKET-ID]）以进行端到端处理时使用。

I

implement-graphql

igmarin / rails-agent-skills

在构建或审查 graphql-ruby 的 schema、resolver 或 mutation 时使用。触发词：GraphQL、graphql-ruby、resolver、mutation、dataloader、schema。

I

implement-hotwire

igmarin / rails-agent-skills

在添加 Turbo Frames、Turbo Streams 或 Stimulus 控制器时使用。触发词：Hotwire、Turbo、Stimulus、frames、streams。

I

implement-next-phase

jasonharmongit / skills

准备实施 solutionize sketch 计划（frontmatter todos）中的下一个待办阶段；仅在用户明确批准后才实施。

I

implement-task

phatysddev / skills

严格按照文档范围实施一个已就绪的 Phat 任务，依据已验证的进度更新其 Goal/Blocked by/Todo 清单，保留无关更改，遵循项目的验证和提交策略，并准备好供评审。任务处于待办状态，或已有进行中的任务且所有依赖均已完成时使用。

I

implementation-contract

ykdz / skills

与 implement-spec 配合，为实施及其子代理补充持续推进、需求边界和验收约定。

I

implementing-cloud-dlp-for-data-protection

mukul975 / anthropic-cybersecurity-skills

使用 Amazon Macie、Google Cloud DLP API、Microsoft 实施云 DLP

I

implementing-rapid7-insightvm-for-scanning

mukul975 / anthropic-cybersecurity-skills

部署并配置 Rapid7 InsightVM Security Console 和 Scan Engines，

I

implementing-sigstore-for-software-signing

mukul975 / anthropic-cybersecurity-skills

使用 Cosign 实现基于 Sigstore 的软件签名与验证