Agent Skills

产品简介

Agent Skills 安全技能库（tech-leads-club/agent-skills）是面向 AI 编程 Agent 的专业化安全技能集合，提供 Semgrep 代码安全规范、LLM 应用安全（OWASP LLM Top 10）、Semgrep 静态分析扫描等高质量技能。所有技能遵循 Agent Skills 格式规范，经过人工审查和安全扫描，适用于企业级 AI 编程场景。

核心功能

code-security 技能 来自 Semgrep 工程团队的全面代码安全规范，覆盖 OWASP Top 10、基础设施安全、15+ 编程语言的安全编码最佳实践；涵盖 SQL 注入、命令注入、XSS、XXE、路径遍历、不安全反序列化、硬编码密钥、内存安全、不安全加密、安全传输、SSRF、JWT/CSRF/原型污染等各级别安全问题，是企业安全编码的得力助手。

llm-security 技能 基于 OWASP Top 10 for LLM Applications 2025 的 LLM 应用安全指南，覆盖提示词注入、敏感信息泄露、供应链攻击、数据投毒、输出处理不当、过度代理、系统提示词泄露、向量嵌入弱点、错误信息、资源耗尽等安全威胁，帮助团队在 AI 时代构建安全的 LLM 应用。

semgrep 技能 完整的 Semgrep 静态分析扫描集成，支持自动规则集（security-audit、owasp-top-ten、cwe-top-25、trailofbits）和自定义规则开发，提供测试驱动规则编写工作流和 GitHub Actions 差分扫描集成，让静态分析融入日常开发流程。

CLI 安全保障 输入清理、文件系统隔离（路径遍历保护）、符号链接防护（TOCTOU 攻击防御）、原子化 lockfile 写入（SHA-256 内容哈希），从多个层次阻断恶意技能的攻击路径。

多 Agent 支持 Claude Code、Aider、Cursor、GitHub Copilot、Kilo Code、Windsurf、Cline、OpenCode 等主流 AI 编程工具均可使用这些安全技能，实现跨平台统一安全标准。

适用场景

• 开发团队需要对 AI 编程 Agent 的代码输出进行安全审计
• 企业 CI 中强制执行代码安全扫描
• AI/LLM 应用的安全评审
• 团队内部安全编码规范落地

快速上手

安装：npx skills add semgrep/skills 或 npx @tech-leads-club/agent-skills 构建所有技能：make build 验证技能：make validate-skill SKILL=code-security 自动安装后 Agent 会在相关任务触发时自动使用对应技能