前言¶

做企业安全的人通常有一类重复劳动：安全体系从零搭起来时要找制度模板，等保 2.0 落地时要找测评要点和差距清单，护网演练前要临时整理攻防要点，安全架构评审要翻一堆散落的参考文档。这些内容散落在标准、厂商白皮书、内部 Wiki 和个人笔记里，每次启动一个新项目都要重新拼一次。

企业信息安全AI顾问能力库 🐉 试图把这摊事收进一个 Skill：把企业安全拆成 28 个知识领域，配 56 份参考文档，让模型在被问到安全建设、合规、架构或事件响应时，有一份统一的材料库可以对照，而不是只凭训练数据里的通用印象回答。

下面介绍这个 Skill 的定位、覆盖范围、启用方式和使用时的注意点。

这是什么¶

企业信息安全AI顾问能力库 🐉 是一个面向企业信息安全场景的通用 SKILL.md 格式能力库，由社区发布者 user_2354702d 维护，当前版本 1.0.1。

它解决的问题不是“执行某个具体工具”，而是给模型提供一份结构化的参考文档集合，让安全咨询类任务有稳定的知识来源。发布者给它打的范围很宽——从安全体系建设、等保 2.0 合规、安全架构设计、纵深防御，到护网攻防演练、SDL/DevSecOps、供应链安全、安全培训、安全咨询四诊法、风险评估、安全事件响应、SOC 建设、零信任、数据安全、云安全、AI 安全、IoT 安全、IAM、移动安全、威胁情报、安全度量、ISMS 制度文档编写、安全文化落地、安全项目管理、安全架构评审等所有企业信息安全场景。

官方页面标注的坐标是 @user_2354702d/dragon-skill，分类为 it-ops-security，来源为 community。标签里带 requires_api_key=false，意味着启用和调用不依赖额外的密钥配置。

核心功能¶

知识领域划分¶

Skill 把企业安全切成 28 个知识领域。这个切法的价值在于，用户不需要提前知道“这个问题属于哪个框架”，只要按实际场景描述任务即可。领域覆盖了制度层（ISMS 制度文档、安全文化、安全项目管理）、架构层（安全架构设计、纵深防御、零信任、SOC 建设）、工程层（SDL/DevSecOps、供应链安全、IAM、移动安全、IoT 安全、云安全、数据安全）、运营层（风险评估、安全事件响应、威胁情报、安全度量、护网攻防演练）以及专门领域（等保 2.0 合规、AI 安全、安全培训、安全咨询四诊法、安全架构评审）。

参考文档数量¶

配套 56 份参考文档。文档是 Skill 的主要交付物形态——模型在被要求产出制度草案、差距清单、诊断报告或评审意见时，依据这些文档生成结构化结果，而不是凭空组织答案。

AI 安全被单独拆出¶

比较值得注意的一点是，AI 安全被作为独立知识领域处理，而不是混在云安全或数据安全里。简介里明确提到覆盖提示注入、红队、LLM 架构、合规四个方向。对于正在把大模型接进内部系统、需要同步考虑模型侧风险的团队，这部分是单独拿出来的，不用自己从通用 AI 安全文章里整理。

安装与启用¶

官方资料中没有给出一条可以直接复制的安装命令或本地路径，公开信息只到坐标级别。当前可用的入口如下。

在 SkillHub 页面查看和启用：

https://www.skillhub.cn/skills/user_2354702d/dragon-skill

引用坐标：

@user_2354702d/dragon-skill

版本信息：

版本：1.0.1
来源：community
分类：it-ops-security
标签：requires_api_key=false

requires_api_key=false 说明这个 Skill 不依赖外部付费模型密钥。如果你在本地 Skill 目录里手动放置，按通用 SKILL.md 格式加载即可；具体目录名和放置位置以你所用客户端（Cursor、Codex CLI、Claude Code 等）的 Skill 加载规则为准，官方资料没有区分说明。

典型用法¶

官方没有给出端到端示例，下面按简介里列出的能力领域，给三种可以直接复现的提问方式。它们的共同点是把场景写实，而不是泛泛问“企业安全怎么做”。

按等保 2.0 输出差距清单：

按等保2.0三级要求，针对一套已有 OA 系统的现有控制项做差距分析，
输出不符合项清单和整改优先级，参考文档里的具体条款要带编号。

用安全咨询四诊法做现状诊断：

按安全咨询四诊法给本公司信息安全现状做一次诊断，
先给诊断框架和每一诊要收集的信息，再给结论的输出格式。

按 ISMS 要求起草制度文档：

按 ISMS 要求起草一份信息安全策略和配套的管理办法目录，
列出每份文档应包含的章节，不要直接写成完整制度正文。

护网演练前整理攻防要点时，可以把演练目标、资产范围和防护现状写进同一个请求里，让模型依据文档里的攻防演练知识领域组织输出。

适用场景与注意¶

适合三类人。一是需要从零搭安全体系或写 ISMS 制度文档的安全负责人，二是在做等保合规、架构评审、SOC 建设等具体交付时需要参考框架和条款的安全工程师，三是给团队做安全培训、准备护网演练材料的安全培训或运营角色。

使用上有几个点需要先讲清楚。

第一，这是知识库型 Skill，不是执行型工具。它提供的是参考文档和知识领域，生成的制度草案、差距清单、诊断报告仍然需要具备判断力的人审核后才能落地。文档覆盖面广不等于结论可以直接用，标准条款的时效性和适用性要自己核对。

第二，来源是 community。评分和下载量是平台的展示值，不代表内容经过官方认证或第三方审计。涉及真实生产环境的合规结论，需要以正式标准文本和监管要求为准。

第三，文档数量固定为 56 份。安全领域更新较快，等保标准修订、AI 安全攻防手法演进、云安全新组件出现时，需要确认文档是否仍然跟得上当前实践。

第四，资料里显示安装量为 0，说明公开记录里还没有可参考的实际使用反馈。想验证效果，建议先在一个明确的子场景上试，例如用四诊法做一次内部现状诊断，再决定是否推广到全场景。

小结¶

企业信息安全AI顾问能力库 🐉 的价值在于把 28 个知识领域和 56 份参考文档放进一个入口，减少了每次启动安全任务时重新拼材料的成本。它的边界也很清楚：给出的是参考框架和文档，不是可直接上线的安全方案。

官方地址：https://api.skillhub.cn/user_2354702d/dragon-skill