AI 写代码越来越猛，安全漏洞也埋得越来越深——这个 Skill 给你的 Agent 上了一堂”漏洞猎人”课

最近 AI 写代码越来越猛，但你有没有这种感觉——AI 噼里啪啦一顿输出，代码跑是跑了，安全漏洞也跟着埋进去了？API 密钥硬编码、SQL 注入敞着口、未授权访问随随便便……这些问题等到上线才被发现，往往就是一场生产事故。

VibeSec Security Skill 就是来解决这个问题的。它不是又一个”帮你写代码”的 Skill，而是一个专门给 AI agent 上安全课的”私人教练”。

核心思路很聪明：让 Claude（以及 Cursor、Codex、Copilot）学会用漏洞猎人的视角审查代码——不是等写完了再做安全审计，而是在 AI 写代码的过程中就持续”挑刺”。

覆盖的漏洞类型很全：IDOR、XSS、CSRF、SSRF、SQL 注入、XXE、路径穿越、JWT/会话处理问题、GraphQL 安全……还带上了框架级别的绕过技巧 checklist。官方说覆盖率大概 60-70% 的常见漏洞，更完整版本在 vibesec.sh。

它还同时映射了两个权威标准：OWASP Top 10 for LLM Applications（2025）和 ASVS 5.0，也就是说它不只是在帮你找 Web 安全问题，连 AI 特有的风险——比如提示词泄漏、过度代理、供应链投毒——都一并覆盖了。

使用方式很简单。装好后，直接跟 Claude 说：

“Help me catch security vulnerabilities during coding, not after deployment”

Claude 就会切换到安全审查模式，边写边提示你哪里埋雷了。

安装也很方便，Claude Code 里直接运行：

npx skills add BehiSecc/VibeSec-Skill

或者手动 clone：

git clone https://github.com/BehiSecc/VibeSec-Skill ~/.claude/skills/VibeSec-Skill

目前 GitHub 上约 747 Stars，完全免费，Apache-2.0 协议，商业可用。如果你经常用 AI coding agent 写项目，这个 Skill 值得常驻——安全审计这件事，让 AI 自己给自己把门，比上线后被白帽子发现要体面多了。

GitHub：https://github.com/BehiSecc/VibeSec-Skill

GitHub: https://github.com/BehiSecc/VibeSec-Skill