Security Cards 今日发布

什么是 Security Cards

Security Cards 是由 Reware Labs 开源发布的 AI agent 安全辅助工具，专注于解决一个核心问题：AI 编程 agent 在生成代码时，往往功能正确但存在安全隐患。研究表明，AI agent 生成的代码中有 40%~50% 至少包含一个安全漏洞，这一比例在主流模型（Claude Opus、GPT Sol 等）中普遍存在。

Security Cards 的解决思路是将散布在文档、源码、测试用例和配置文件中的库级安全实践抽离出来，转化为结构化的安全指南，供 AI agent 在生成代码时主动查阅，从而在源头减少漏洞产生。

核心能力

• 库级安全卡片覆盖：目前覆盖超过 80 个主流开源库，跨越 13 种编程语言，每个卡片包含「适用场景」「安全规则」「代码示例」三部分
• 版本精准匹配：安全指南与库的特定版本绑定，agent 读取项目 lockfile 后自动调用对应版本的卡片，避免版本错配导致的不适用规则
• Blueprint 概览模式：每个库提供一份高层安全摘要，agent 可先读摘要快速了解安全轮廓，再按需深入具体卡片
• 多智能体兼容：支持 Claude Code、Copilot Agent、Cline 等主流 AI 编程工具，通过统一 skill 接口集成
• 可信度验证：结合自动化验证与人工审核双重机制，经过迭代后人工审核比例已降至 10% 以下
• 独立站浏览：除 skill 调用外，用户也可直接在 securitycards.rewarelabs.com 网页端按语言、库、版本、类别多维度检索卡片

安装配置

方式一：全局安装（推荐）

适用于在任意项目中使用 Security Cards，命令如下：

npx skills add Reware-Labs/securitycards --skill securitycards -g

安装完成后，AI agent 在任意项目下均可调用该 skill。

方式二：项目级安装

仅在当前项目内可用：

npx skills add Reware-Labs/securitycards --skill securitycards

适合团队统一规范、项目级别的安全要求。

方式三：GitHub CLI 安装

gh skill install Reware-Labs/securitycards securitycards --scope user

使用步骤

1. 安装 skill：在终端执行上述安装命令之一，完成后 AI agent 会自动识别 Security Cards skill
2. 在提示词中激活 skill：向 agent 描述任务时加入类似指令——「Use the Security Cards skill while implementing this project」
3. Agent 自动匹配卡片：Agent 读取项目的 package-lock.json 或同类 lockfile，确定依赖版本后从安全卡片目录拉取对应卡片
4. 应用安全规则：在代码生成或代码审查过程中，Agent 根据卡片规则检查生成的代码，并标注所引用的安全卡片链接
5. 结果可查可溯：Agent 在完成代码后返回所应用的安全规则及对应卡片出处，开发者可人工复核

适用场景

• Web 开发：Node.js/express、Python/Flask/Django、Go 标准库等主流 Web 框架的安全使用规则
• 数据序列化：JSON/XML/YAML 处理库的安全配置，防止反序列化漏洞
• 身份认证：OAuth、JWT、Session 管理相关库的版本级安全实践
• 加密与密钥管理：密码哈希、密钥存储、TLS 配置等敏感操作的安全规范
• API 调用：HTTP 客户端库的文件上传、请求验证、重定向处理等安全注意事项
• 第三方集成：支付、短信、邮件等第三方 SDK 的安全接入规范

适用人群

• 使用 AI 编程工具的开发者：Claude Code、Copilot Agent、Cline 等工具的重度用户，期望 AI 生成代码更安全
• 安全工程师：希望为团队引入标准化安全辅助工具，降低代码 review 成本
• AI 工具开发者：在构建 AI 编程产品时将安全卡片作为内置安全层集成

工作原理

Security Cards 采用混合提取方法：将库的安全知识从源码仓库、测试用例、文档中系统性抽取，转化为结构化数据，再通过自动化规则引擎验证和人工抽检双重机制确保卡片质量。

Agent 端通过 skill 接口工作：skill 本身为纯指令集（无脚本、无 API Key 调用），仅负责读取 lockfile 定位依赖版本、向安全卡片目录发起公开查询请求，并将结果以结构化格式注入 agent 上下文。整个过程不访问、不传输用户代码，隐私完全由用户所用 AI 平台保障。

官方链接

• 官网：https://securitycards.rewarelabs.com
• GitHub：https://github.com/Reware-Labs/securitycards
• HN 讨论：https://www.rewarelabs.com/blog/introducing-security-cards/