一个包含206项人工智能代理安全技能的开放图书馆——渗透测试、漏洞赏金、夺旗、逆转和防御，涵盖23个领域，支持CI验证的路由和Sigma检测。
概览
206种进攻+防御技术，你的AI代理按需加载以打击目标——从侦察到报告。 文档 ·工作原理 ·搜索技能 ·贡献 阅读 AGENTS.md（简短的引导版简称 README_AI.md）并严格遵守——这个仓库设计是为你操作而设计，而不仅仅是人类阅读。 那次重玩是真正的游戏：对抗OWASP Juice Shop（116个本地挑战），拥有这些技能的代理解决了——SQLi认证绕过、UNION凭证抛弃、XXE、JWT算法混淆、BOLA——每个人都有书面发现。评分来自目标自己的破解日志，而不是代理声称的内容。完整A/B（技能对无技能）及如何自己复现：bench/RESULTS.md。 你的AI代理是个强劲的通才，但它并不清楚具体任务的具体方法——比如测试API是否有访问控制漏洞。一本包含206页“如何做这一种技术”的短页的活页夹，需要时会翻到。
概述（AI 翻译）
人工智能代理的安全技能。 206种进攻+防御技术，你的AI智能体按需加载，执行授权目标——从侦察到报告。
文档 ·工作原理 ·搜索技能 ·贡献
🌐 英文 |中文
**如果你是人工智能代理：**请阅读 AGENTS.md（简短的引导工具是README_AI.md），并严格遵守——这个仓库设计为由你操作，而不仅仅是人类读取。
基准测试，而不仅仅是宣称。 那个重玩是真正的一轮：对阵OWASP Juice Shop（116个挑战，本地运行），拥有这些技能的代理在10分钟内解决了9个挑战——SQLi认证绕过、UNION凭证抛弃、XXE、JWT算法混乱、BOLA——每个都有书面发现。评分来自目标自己的破解日志，而不是代理声称的内容。完整A/B（技能对无技能）及如何自己复现：bench/RESULTS.md。
这是什么
你的AI代理是个强力的通才，但它不知道具体任务的确切方法——比如测试API是否有访问控制漏洞。**安全技能就是缺失的专业知识：**一本包含206页“如何做这技术”的短页夹，代理需要时会翻到那里。
本页由 AI 翻译，技术细节请以原文为准。
README
以下为原文 README 节选，完整内容请查看原文。
If you are an AI agent: read AGENTS.md (or README_AI.md for the short bootstrap) and follow it strictly — this repo is designed to be operated by you, not just read by humans.
Benchmarked, not just claimed. That replay is a real run: against OWASP Juice Shop (116 challenges, running locally), an agent with these skills solved 9 challenges in 10 minutes — SQLi auth bypass, UNION credential dump, XXE, JWT algorithm confusion, BOLA — each with a written finding. Scoring comes from the target’s own solve log, never from what the agent claims. Full A/B (skills vs none) and how to reproduce it yourself: bench/RESULTS.md.
What it is
Your AI agent is a strong generalist, but it doesn’t know the exact method for a specific job — say, testing an API for access-control bugs. Security Skills is that missing know-how: a binder of 206 short “how to do this one technique” pages the agent flips to when it needs one.
It’s not a replacement for your toolkit, either: the skills teach your agent when and how to drive the tools you already have — sqlmap, nmap, ffuf, nuclei, Burp Suite, Ghidra, Frida, hashcat, Impacket — with the exact commands, follow-ups, and verification steps each job calls for. And a machine-readable routing table (data/routing.json — 618 trigger cases, CI-verified) lets any agent or integration pick the right skill deterministically, no prompt guesswork.
You describe the task in plain English → it picks the right page, runs it, proves the bug, and writes it up → and it never touches anything outside the scope you set.
Pick your door
推荐工具
换一个关键词，或者移除筛选条件。
安装
npx skillfish add noorqureshi/security-skills