skillpicker.
返回全部主题
中文
← 浏览全部主题任务

面向漏洞赏金的 Agent Skills

漏洞赏金技能覆盖完整披露流程：界定允许触碰的范围、通过侦察摸清实际资产、找到并用以可运行的演示证明问题、撰写防御者能复现并修复的报告、处理披露，以及项目侧的定级与赏金决策。这些是任务型技能，不是单一工具——有些帮你守住项目规则，有些帮你把发现变成防御者能行动的东西。使用排名列表时，先读子主题标签，挑你真正卡住的那个阶段，而不是听起来最刺激的那个。然后看每个技能期望什么输入、产出什么输出，确认它契合你现有的工作流。

1 个先看13 个推荐选项

从这些开始。

A bounty is a disclosure process: recon, find, prove, report, then wait through triage — with rules that protect both sides.

这些是和这项工作最接近的结果。从第一条开始，打开后即可安装。

What you are allowed to touch, and what gets you in trouble. 该领域的一个子问题，目前还没有对应的 Skills。Map what actually exists before poking it.A working demonstration, not a theory.Enough for a defender to reproduce and fix.When (and whether) the rest of the world hears. 该领域的一个子问题，目前还没有对应的 Skills。The program's side: is this real, in scope, and worth paying? 该领域的一个子问题，目前还没有对应的 Skills。

13 个推荐选项

  1. 排名 01
    直接匹配

    penetration-testing-with-strix

    使用 Strix 对 Web 应用、API、代码库、仓库、URL、域名或 IP 进行渗透测试——自主 AI 渗透测试，会实际利用并证明漏洞（OWASP Top 10 及更多——注入、XSS、SSRF、认证/访问控制缺陷、IDOR、业务逻辑），而不仅仅是标记它们。支持自托管运行……

    来自 usestrix/strix

    • Find & prove
    12,429 · 受欢迎程度
    查看 Agent Skill
展开另外 12 个 Agent Skills
  1. 排名 09
    可能匹配

    differential-review

    对代码变更执行以安全为重点的差异审查。根据代码库规模调整分析深度，使用 git blame 获取上下文，通过统计调用方计算影响范围，检查修改代码的测试覆盖率，并生成 markdown 报告。在审查 PR、commit 或 diff 以……时使用。

    来自 trailofbits/skills

    • Find & prove
    • Report
    7,486 · 受欢迎程度
    查看 Agent Skill
  2. 排名 10
    可能匹配

    fp-check

    系统验证疑似安全漏洞以消除误报，为每个漏洞生成 TRUE POSITIVE 或 FALSE POSITIVE 结论并附有记录证据。当被询问某个具体发现是否真实、可利用或为误报，或要验证或确认疑似…

    来自 trailofbits/skills

    • Find & prove
    • Report
    6,501 · 受欢迎程度
    查看 Agent Skill
  3. 排名 11
    可能匹配

    find-bugs

    在本地分支变更中查找 bug、安全漏洞和代码质量问题。当被要求审查变更、查找 bug、进行安全审查或审计当前分支代码时使用。

    来自 getsentry/skills

    • Recon
    • Report
    6,562 · 受欢迎程度
    查看 Agent Skill
  4. 排名 12
    可能匹配

    security-review

    针对漏洞进行安全代码审查。当被要求“security review”、“find vulnerabilities”、“check for security issues”、“audit security”、“OWASP review”，或审查代码中的注入、XSS、认证、授权、密码学问题时使用。提供系统性审查，并…

    来自 getsentry/skills

    • Find & prove
    • Report
    19,221 · 受欢迎程度
    查看 Agent Skill
  5. 排名 13
    可能匹配

    security-best-practices

    官方

    针对特定语言和框架执行安全最佳实践审查并提出改进建议。仅在用户明确要求安全最佳实践指导、安全审查/报告或默认安全编码帮助时触发。仅支持的语言（python、javascript/typescript、go）触发。不要用于一般代码审查、调试或非安全任务。

    来自 openai/skills

    • Find & prove
    • Report
    查看 Agent Skill
  6. 排名 14
    可能匹配

    golang-security

    Golang 的安全最佳实践和漏洞预防——注入（SQL、命令、XSS）、密码学、路径遍历、SSRF 和 HTTP 安全头、Cookie、密钥管理、内存安全、日志中的 PII、STRIDE/DREAD 威胁建模，以及 `gosec` SAST、竞态检测和模糊测试。…

    来自 samber/cc-skills-golang

    • Recon
    • Find & prove
    • Report
    38,753 · 受欢迎程度
    查看 Agent Skill
  7. 排名 15
    可能匹配

    audit-website

    精选

    使用 squirrelscan CLI 审计网站并在代码中修复发现的问题。运行 SEO、性能、安全、技术、内容、无障碍以及另外 15 个规则类别（260+ 条规则），返回针对 LLM 优化的报告，然后驱动迭代修复循环，将问题映射到源文件、应用修复并重新审计，直到网站获得良好评分。用于发现和评估网站或 Web 应用问题，并推动其修复。

    来自 squirrelscan/skills

    • Report

    声明的前提（自述）: CLI tool

    71,267 · 受欢迎程度
    查看 Agent Skill
  8. 排名 16
    可能匹配

    browser-fingerprint-audit

    使用 liarjs CLI 审计浏览器指纹的内部矛盾——canvas、WebGL、WebGL2、WebGPU、音频、220 种字体、WebRTC 和时区探测，并针对同一请求的 TLS/HTTP/ASN 视图进行评分。当被要求运行浏览器指纹测试、查看指纹是什么样的…

    来自 liarjsdev/liarjs-skills

    声明的前提（自述）: Node.js

    81,196 · 受欢迎程度
    查看 Agent Skill
  9. 排名 17
    可能匹配

    agent-browser

    通过 inference.sh 为 AI 代理提供浏览器自动化。导航网页、使用 @e 引用与元素交互、截图、录制视频。能力：网页抓取、表单填写、点击、输入、拖放、文件上传、JavaScript 执行。用于：网页自动化、数据提取、测试、…

    来自 101-skills/superpowers

    131,791 · 受欢迎程度
    查看 Agent Skill
  10. 排名 18
    可能匹配

    github-issue-creator

    官方

    将原始笔记、错误日志、语音听写或截图转换为简洁的 GitHub 风格 markdown 问题报告。当用户粘贴 bug 信息、错误消息或非正式描述并希望得到结构化的 GitHub issue 时使用。支持用图片/GIF 作为视觉证据。

    来自 microsoft/skills

    • Report
    查看 Agent Skill
  11. 排名 19
    可能匹配

    docx

    官方

    当用户想要创建、阅读、编辑或操作 Word 文档（.docx 文件）或 Word 模板（.dotx 文件）时，使用此技能。触发条件包括：任何提及“Word 文档”、“word 文档”、“.docx”、“.dotx”，或要求生成具有目录、标题、页码或信头等格式的专业文档。也用于从 .docx 或 .dotx 文件中提取或重组内容、在文档中插入或替换图像、在 Word 文件中执行查找和替换、处理修订或评论，或将内容转换为精美的 Word 文档。如果用户要求将“报告”、“备忘录”、“信件”、“模板”或类似交付物作为 Word 或 .docx 文件，请使用此技能。不要用于 PDF、电子表格、Google Docs 或与文档生成无关的一般编码任务。

    来自 anthropics/skills

    查看 Agent Skill
  12. 排名 20
    可能匹配

    xlsx

    官方

    当电子表格文件是主要输入或输出时使用此 skill。这意味着任何用户想要：打开、读取、编辑或修复现有 .xlsx、.xlsm、.xltx、.csv 或 .tsv 文件（例如添加列、计算公式、格式化、制图、清理杂乱数据）；从零或其他数据源创建新电子表格；或在表格文件格式之间转换的任务。尤其当用户按名称或路径引用电子表格文件时触发——即使是随口提及（如 \"我下载里的 xlsx\"）——并想对其执行操作或从中生成内容。也适用于将杂乱的表格数据文件（格式错误的行、错位的表头、垃圾数据）清理或重构为规范的电子表格。交付物必须是电子表格文件。当主要交付物是 Word 文档、HTML 报告、独立 Python 脚本、数据库管道或 Google Sheets API 集成时，即使涉及表格数据，也不要触发。

    来自 anthropics/skills

    查看 Agent Skill
这个话题涵盖什么

这个话题涵盖什么

每个子主题对应一类具体场景下的 Agent Skills。

Scope & rules
What you are allowed to touch, and what gets you in trouble.
Recon
Map what actually exists before poking it.
Find & prove
A working demonstration, not a theory.
Report
Enough for a defender to reproduce and fix.
Disclosure
When (and whether) the rest of the world hears.
Triage & bounty
The program's side: is this real, in scope, and worth paying?
常见问题

常见问题

这个列表是如何排序的？
它按观察到的搜索需求排名，与主题直接匹配的排在最前，并对任何单一发布者能占据的技能数量设有上限。
如果我是 bounty 工作的新手，应该从哪个阶段开始？
从范围和规则开始，因为漏洞赏金的定位是一个披露过程，规则保护双方。侦察和发现并证明类技能假定你已经知道自己被允许触碰什么。
这些 Skill 覆盖赏金的项目方一侧吗？
是的。分诊与赏金是其中一个子主题：判断一份报告是否真实、是否在范围内、是否值得付费。它与研究者侧的侦察、发现与证明、报告和披露等阶段并列。
发现并证明类 Skill 与报告类 Skill 有什么区别？
发现并证明的重点是产出可运行的演示，而不是理论。报告的重点是给防御方足够的信息来复现和修复问题，这与证明本身是不同的产出。

如何安装 Agent Skill

从本页第一条开始。Claude Code 会读取放进 skills 目录的 SKILL.md：

  • Claude Code——把 penetration-testing-with-strix 的 SKILL.md 复制到 ~/.claude/skills/penetration-testing-with-strix/（个人使用），或 .claude/skills/penetration-testing-with-strix/（随项目共享）。
  • 从 registry 安装——运行 npx skills add usestrix/strix@penetration-testing-with-strix。
  • 或者从 penetration-testing-with-strix 的来源下载 SKILL.md，放进上面的目录。

如何挑选 安装前先看出处和技能自身的说明。Official 与 Notable 标签描述的是技能来源。