Agent Skills para Recompensa por errores
Las skills de bug bounty cubren todo el proceso de divulgación: definir el alcance de lo que puedes tocar, reconocimiento para mapear lo que realmente existe, encontrar y probar un problema con una demostración funcional, escribir un informe que un defensor pueda reproducir y corregir, gestionar la divulgación y el trabajo del lado del programa de triaje y decisiones de recompensa. Son skills de tarea, no una sola herramienta: algunas te ayudan a mantenerte dentro de las reglas del programa, otras te ayudan a convertir un hallazgo en algo sobre lo que un defensor pueda actuar. Usa la lista clasificada leyendo primero las etiquetas de los subtemas y eligiendo la etapa en la que realmente estás atascado, en lugar de la que suena más emocionante. Luego revisa qué espera cada skill como entrada y qué produce como salida, para que encaje en el flujo de trabajo que ya tienes.
1 para empezar13 mejores opciones
Empieza por estos.
A bounty is a disclosure process: recon, find, prove, report, then wait through triage — with rules that protect both sides.
Estos son los resultados más relevantes. Abre un Skill, lee sus instrucciones y decide si encaja.
- Puesto 01Ver Agent SkillDirecta
penetration-testing-with-strix
Haz pentesting de una app web, API, base de código, repositorio, URL, dominio o IP con Strix — pruebas de penetración autónomas con IA que explotan y demuestran vulnerabilidades (OWASP Top 10 y más allá — inyección, XSS, SSRF, fallos de autenticación/control de acceso, IDOR, lógica de negocio) en lugar de solo señalarlas. Se ejecuta autoalojado…
12.429 · popularidad
Explorar 12 Agent Skills más
- Puesto 09Ver Agent SkillPosible
differential-review
Realiza una revisión diferencial centrada en seguridad de los cambios de código. Adapta la profundidad del análisis al tamaño del código base, usa git blame para contexto, calcula el radio de impacto contando los llamadores, comprueba la cobertura de pruebas del código modificado y genera un informe en markdown. Úsalo al revisar un PR, commit o diff para…
7486 · popularidad - Puesto 10Ver Agent SkillPosible
fp-check
Verifica sistemáticamente posibles bugs de seguridad para eliminar falsos positivos, produciendo un veredicto de TRUE POSITIVE o FALSE POSITIVE con evidencia documentada para cada uno. Úsalo cuando se pregunte si un hallazgo concreto es real, explotable o un falso positivo, o para verificar o validar un presunto…
6501 · popularidad - Puesto 11Ver Agent SkillPosible
find-bugs
Encuentra errores, vulnerabilidades de seguridad y problemas de calidad de código en los cambios de la rama local. Úsalo cuando se solicite revisar cambios, encontrar errores, revisar seguridad o auditar código en la rama actual.
6562 · popularidad - Puesto 12Ver Agent SkillPosible
security-review
Revisión de seguridad de código en busca de vulnerabilidades. Úsalo cuando se solicite "security review", "find vulnerabilities", "check for security issues", "audit security", "OWASP review", o revisar código por problemas de inyección, XSS, autenticación, autorización o criptografía. Ofrece una revisión sistemática con…
19.221 · popularidad - Puesto 13Ver Agent SkillPosible
security-best-practices
OficialRealiza revisiones de mejores prácticas de seguridad específicas de lenguaje y framework y sugiere mejoras. Se activa solo cuando el usuario solicita explícitamente orientación sobre mejores prácticas de seguridad, una revisión/informe de seguridad o ayuda de codificación segura por defecto. Se activa solo para lenguajes compatibles (python, javascript/typescript, go). No se activa para revisión general de código, depuración o tareas no relacionadas con seguridad.
- Puesto 14Ver Agent SkillPosible
golang-security
Mejores prácticas de seguridad y prevención de vulnerabilidades para Golang — inyección (SQL, comandos, XSS), criptografía, path traversal, SSRF y cabeceras de seguridad HTTP, cookies, gestión de secretos, seguridad de memoria, PII en logs, modelado de amenazas STRIDE/DREAD, además de `gosec` SAST, detección de carreras y fuzz testing.…
38.753 · popularidad - Puesto 15Ver Agent SkillPosible
audit-website
DestacadoAudita un sitio web con el CLI squirrelscan y corrige los hallazgos en el código. Ejecuta SEO, rendimiento, seguridad, técnico, contenido, accesibilidad y otras 15 categorías de reglas (más de 260 reglas), devuelve un informe optimizado para LLM y luego impulsa un bucle de corrección iterativo, mapeando los problemas a archivos fuente, aplicando correcciones y reauditando hasta que el sitio obtenga una buena puntuación. Úsalo para descubrir y evaluar problemas de sitios web o webapps y llevarlos a corregido.
Necesita (declarado): CLI tool
71.267 · popularidad - Puesto 16Ver Agent SkillPosible
browser-fingerprint-audit
Audita una huella de navegador en busca de contradicciones internas con el CLI liarjs - sondas de canvas, WebGL, WebGL2, WebGPU, audio, 220 fuentes, WebRTC y zona horaria, puntuadas frente a la vista TLS/HTTP/ASN de la misma solicitud. Úsala cuando te pidan ejecutar una prueba de huella de navegador, ver cómo es una huella,…
Necesita (declarado): Node.js
81.196 · popularidad - Puesto 17Ver Agent SkillPosible
agent-browser
Automatización de navegador para agentes de IA mediante inference.sh. Navega por páginas web, interactúa con elementos usando refs @e, toma capturas de pantalla, graba vídeo. Capacidades: web scraping, rellenado de formularios, clics, escritura, arrastrar y soltar, subida de archivos, ejecución de JavaScript. Úsalo para: automatización web, extracción de datos, testing,…
131.791 · popularidad - Puesto 18Ver Agent SkillPosible
github-issue-creator
OficialConvierte notas sin procesar, registros de errores, dictado por voz o capturas de pantalla en informes de issues en markdown estilo GitHub bien definidos. Úsalo cuando el usuario pegue información de errores, mensajes de error o descripciones informales y quiera un issue de GitHub estructurado. Admite imágenes/GIF como evidencia visual.
- Puesto 19Ver Agent SkillPosible
docx
OficialUsa esta skill siempre que el usuario quiera crear, leer, editar o manipular documentos de Word (archivos .docx) o plantillas de Word (archivos .dotx). Los desencadenantes incluyen: cualquier mención de 'Word doc', 'word document', '.docx', '.dotx', o solicitudes de producir documentos profesionales con formato como tablas de contenido, encabezados, números de página o membretes. Úsala también al extraer o reorganizar contenido de archivos .docx o .dotx, insertar o reemplazar imágenes en documentos, realizar buscar y reemplazar en archivos de Word, trabajar con cambios controlados o comentarios, o convertir contenido en un documento de Word pulido. Si el usuario pide un 'informe', 'memo', 'carta', 'plantilla' o un entregable similar como archivo de Word o .docx, usa esta skill. NO la uses para PDFs, hojas de cálculo, Google Docs ni tareas generales de programación no relacionadas con la generación de documentos.
- Puesto 20Ver Agent SkillPosible
xlsx
OficialUsa esta skill siempre que un archivo de hoja de cálculo sea la entrada o salida principal. Esto significa cualquier tarea en la que el usuario quiera: abrir, leer, editar o corregir un archivo .xlsx, .xlsm, .xltx, .csv o .tsv existente (p. ej., añadir columnas, calcular fórmulas, dar formato, crear gráficos, limpiar datos desordenados); crear una nueva hoja de cálculo desde cero o a partir de otras fuentes de datos; o convertir entre formatos de archivo tabulares. Actívala especialmente cuando el usuario mencione un archivo de hoja de cálculo por nombre o ruta —incluso de forma casual (como \"el xlsx en mis descargas\")— y quiera hacer algo con él o producirlo a partir de él. Actívala también para limpiar o reestructurar archivos de datos tabulares desordenados (filas mal formadas, encabezados mal colocados, datos basura) y convertirlos en hojas de cálculo adecuadas. El entregable debe ser un archivo de hoja de cálculo. NO la actives cuando el entregable principal sea un documento de Word, un informe HTML, un script de Python independiente, un pipeline de base de datos o una integración con la API de Google Sheets, aunque haya datos tabulares de por medio.
Qué cubre este tema
Cada subtema agrupa Agent Skills para una situación concreta.
- Scope & rules
- What you are allowed to touch, and what gets you in trouble.
- Recon
- Map what actually exists before poking it.
- Find & prove
- A working demonstration, not a theory.
- Report
- Enough for a defender to reproduce and fix.
- Disclosure
- When (and whether) the rest of the world hears.
- Triage & bounty
- The program's side: is this real, in scope, and worth paying?
Preguntas frecuentes
- ¿Cómo está ordenada esta lista?
- Se ordena por la demanda de búsqueda observada, con las coincidencias directas del tema en primer lugar y un límite en el número de skills que puede ocupar un mismo publisher.
- ¿Con qué etapa debería empezar si soy nuevo en el trabajo de recompensas?
- Empieza por el alcance y las reglas, porque la orientación de un bounty es un proceso de divulgación donde las reglas protegen a ambas partes. Las skills de recon y de find-and-prove asumen que ya sabes qué puedes tocar.
- ¿Cubren estas skills el lado del programa de un bounty?
- Sí. Triage y recompensas es uno de los subtemas: decidir si un informe es real, está dentro del alcance y merece que se pague. Eso convive con las etapas del lado del investigador: reconocimiento, encontrar y probar, informe y divulgación.
- ¿Qué separa a una skill de encontrar y probar de una skill de informes?
- Find and prove consiste en producir una demostración funcional en lugar de una teoría. Report consiste en darle a un defensor lo suficiente para reproducir y corregir el problema, que es un resultado distinto de la prueba en sí.
Cómo instalar un Agent Skill
Los Agent Skills son archivos SKILL.md. La mayoría de los agentes los detectan cuando están en el directorio de skills correcto:
- Claude Code — copy the SKILL.md for penetration-testing-with-strix into ~/.claude/skills/penetration-testing-with-strix/ for yourself, or .claude/skills/penetration-testing-with-strix/ to share it with a project.
- From the registry — run npx skills add usestrix/strix@penetration-testing-with-strix.
- Or download penetration-testing-with-strix from its source and place that SKILL.md in the directory above.
Cómo elegir Comprueba la fuente y las instrucciones del propio Skill antes de instalar. Las etiquetas Official y Notable describen el origen del Skill.