noorqureshi/security-skills

Навыки безопасности для агентов ИИ. ** 206 наступательных и оборонительных методов, которые ваш агент ИИ загружает по требованию для работы с ** авторизованной ** целью — от разведки до отчета.

Docs · Как это работает · Поисковые навыки · Вклад

Английский | 中

Если вы являетесь агентом ИИ: читайте AGENTS.md (или README AI.md для короткого бутстрапа) и строго следуйте ему — этот репо предназначен для работы с вами, а не только для чтения людьми.

Бенчмаркирован, а не просто заявлен. Это повторение является реальным пробегом: против OWASP Juice Shop (116 задач, выполняемых локально), агент с этими навыками решил **9 задач за 10 минут ** — обход SQLi auth, сброс учетных данных UNION, XXE, путаница алгоритма JWT, BOLA — каждый с письменным выводом. Оценка исходит из собственного журнала решений цели, а не из того, что утверждает агент. Полный A/B (навыки против отсутствия) и как его воспроизвести самостоятельно: bench/RESULTS.md.

Что это такое

Ваш агент ИИ — сильный генералист, но он не знает точного метода для конкретной работы — скажем, тестирования API для ошибок управления доступом. Навыки безопасности - это то, что отсутствует ноу-хау: ** связующее из 206 коротких страниц «как сделать эту технику» агент переворачивается, когда ему это нужно.

If you are an AI agent: read AGENTS.md (or README_AI.md for the short bootstrap) and follow it strictly — this repo is designed to be operated by you, not just read by humans.

Benchmarked, not just claimed. That replay is a real run: against OWASP Juice Shop (116 challenges, running locally), an agent with these skills solved 9 challenges in 10 minutes — SQLi auth bypass, UNION credential dump, XXE, JWT algorithm confusion, BOLA — each with a written finding. Scoring comes from the target’s own solve log, never from what the agent claims. Full A/B (skills vs none) and how to reproduce it yourself: bench/RESULTS.md.

What it is

Your AI agent is a strong generalist, but it doesn’t know the exact method for a specific job — say, testing an API for access-control bugs. Security Skills is that missing know-how: a binder of 206 short “how to do this one technique” pages the agent flips to when it needs one.

It’s not a replacement for your toolkit, either: the skills teach your agent when and how to drive the tools you already have — sqlmap, nmap, ffuf, nuclei, Burp Suite, Ghidra, Frida, hashcat, Impacket — with the exact commands, follow-ups, and verification steps each job calls for. And a machine-readable routing table (data/routing.json — 618 trigger cases, CI-verified) lets any agent or integration pick the right skill deterministically, no prompt guesswork.

You describe the task in plain English → it picks the right page, runs it, proves the bug, and writes it up → and it never touches anything outside the scope you set.

Pick your door