supply-chain-risk-auditor：用腳本度量依賴供應鏈風險
supply-chain-risk-auditor 是 Trail of Bits skills 市場中的 Agent Skill，針對 npm、PyPI、Go 項目的 manifest 與鎖文件生成供應鏈風險報告。通過 collect.py 與 render.py 採集版本匹配的公告、傳遞依賴、上游歸檔、npm 發佈者集中度及安裝腳本等指標，Agent 負責優先級與升級建議。文章說明安裝方式、工作流、gh 認證影響及適用邊界，強調 unassessable 與覆蓋範圍表的讀法，避免手工估數替代腳本測量。
閱讀全文testing-handbook-skills：把 Testing Handbook 變成可執行的 AppSec 測試工作流
testing-handbook-skills 是 Trail of Bits skills 市場中的 Code Auditing 插件，把 appsec.guide 上的 Testing Handbook 結構化爲 Claude Code/Codex 可用的 Skill：含 testing-handbook-generator 元技能、14 個已生成的 fuzzer/技術/領域專題，以及 validate-skills.py 校驗。文章說明其定位、生成工作流、Claude Code 與 Codex 安裝命令、典型生成提示與 uv 校驗用法，並交代手冊路徑解析、未生成交叉引用及工具環境需自備等注意點。
閱讀全文mutation-testing：用 Agent Skill 跑 mewt/muton 變異測試戰役
mutation-testing 是 Trail of Bits skills 市場中的 Verification 類 Skill，用於在 AI 輔助下配置 mewt 或 muton 變異測試戰役、分析存活變異體並從測試缺口追查源碼問題。Skill 按場景路由配置加速、bug-hunter 與結果分析報告等工作流，並約定 Uncaught、Timeout 等結果含義及常用 CLI。文章說明 Claude Code/Codex 添加 trailofbits/skills 市場的方式，以及 init、run、results、test 等典型命令，適合已使用或計劃使用變異測試的團隊。
閱讀全文rust-review：面向 Rust 代碼庫的安全審查 Skill
rust-review 是 Trail of Bits skills 市場中的 Rust 代碼安全審查 Skill，通過編排器與 worker/dedup/fp 子代理覆蓋 safe/unsafe 邊界、unsafe 內存安全、併發、panic-DoS、FFI 與 async 運行時問題，產出 REPORT.md 與 REPORT.sarif。適用於審計含 unsafe、FFI 或併發的 crate 與服務；純 C/C++、智能合約與密鑰清零等場景應改用 c-review、合約類 Skill 或 zeroize-audit。在 Claude Code 或 Codex 中添加 trailofbits/skills 市場後，用 /rust-review:rust-review 啓動審查。
閱讀全文agentic-actions-auditor：審計 GitHub Actions 裏 AI Agent 集成的安全風險
agentic-actions-auditor 是 Trail of Bits skills 市場中的 Skill，用於對調用 Claude Code Action、OpenAI Codex、Gemini CLI、GitHub AI Inference 的 GitHub Actions workflow 做靜態安全審計。它指導 Agent 發現 workflow、識別 AI 步驟、跟進 composite/reusable 引用，並檢測環境變量中轉、表達式注入、危險沙箱與通配符用戶白名單等向量。支持本地 Glob 掃描與通過 gh api 拉取遠程倉庫。適用於 CI 接入 Agent 前的安全評審，不做運行時 exploit 或自動改文件。
閱讀全文skill-improver：用 fix-review 循環把 SKILL.md 打磨到可發佈
skill-improver 是 Trail of Bits skills 市場中的元技能，依賴 plugin-dev 的 skill-reviewer，對目標 SKILL.md 反覆執行審查、按 Critical/Major/Minor 修復與再審查，直到輸出 skill-improvement-complete 或達到默認 20 輪上限。適合批量對齊 frontmatter、觸發描述與 When to Use 結構；單次評審應直接用 skill-reviewer。安裝需先加入 trailofbits/skills 市場並啓用 plugin-dev，在 Claude Code 用 /skill-improver 指定路徑啓動循環。
閱讀全文second-opinion：用 Codex 或 Antigravity 對 Git 變更做外部代碼審查
second-opinion 是 Trail of Bits skills 市場中的 Agent Skill，對未提交變更、分支 diff 或指定 commit 調用 Codex、Antigravity 或 Gemini CLI 做獨立代碼審查並整理 findings，支持雙提供方同 patch 對比。它不自動改代碼也不發帖遠端。文章說明審查範圍與 focus、diff 與臨時文件約定、各 CLI 調用方式，以及 Claude Code 與 Codex 的市場安裝命令與官方斜槓示例。
閱讀全文audit-context-building：漏洞狩獵前先建審計上下文
Trail of Bits 的 audit-context-building Skill 在審計與威脅建模起點，按函數梳理假設、保證與依賴，產出 DOSSIER 與函數級記錄，標註 nothing found 與開放問題，不命名漏洞。適用於 Claude Code、Codex 等通過 trailofbits/skills 市場安裝。
閱讀全文sharp-edges：用「設計審查」視角找 API 裏的安全 footgun
sharp-edges 是 Trail of Bits 提供的 Agent Skill，用於評估 API、配置與接口是否抗開發者誤用，聚焦算法選擇、危險默認值、配置懸崖、靜默失敗等六類 footgun，並以 pit of success 爲原則。提供 sharp-edges-analyzer 與四階段分析工作流。安裝：npx skills add https://github.com/trailofbits/skills --skill sharp-edges。適合 API/配置設計評審，不替代實現 bug 或業務邏輯審計。
閱讀全文用 variant-analysis 做變體分析：找到一個 Bug，再把同類搜乾淨
Trail of Bits 的 variant-analysis 把安全工程師日常的變體分析寫成 Agent Skill：在已經確認一處漏洞後，抽出根因、用精確模式校準，再一次只放寬一個條件搜整倉，最後分診並留下 CI 規則。本文按官方 SKILL.md、插件 README 和策略文檔，說明五步流程、ripgrep/Semgrep/CodeQL 的選用，以及 Claude Code、Codex、Cursor 的安裝與調用方式。
閱讀全文semgrep-rule-creator：用 Agent 寫出可測試的 Semgrep 安全規則
semgrep-rule-creator 是 Trail of Bits 推出的 Agent Skill，用來創建可檢測安全漏洞、Bug 模式與代碼模式的自定義 Semgrep 規則。它不跑現成規則集，而是強制 Agent 按測試先行、AST 分析、污點模式優先、全部測通後再優化的流程產出規則。本文依據官方 SKILL.md、插件 README 與技能市場說明，整理安裝方式、七步工作流、eval 污點示例以及使用邊界。
閱讀全文property-based-testing：Trail of Bits 把屬性測試寫成可複用的 Agent Skill
Trail of Bits 的 property-based-testing 是一份跨語言、含智能合約的屬性測試指導 Skill。它教 Agent 識別編解碼、解析、歸一化和合約不變量，按往返、冪等等性質寫測試，並在失敗時區分測試錯誤與真 bug。文章依據官方 SKILL.md、插件 README 與市場倉庫，說明 Claude Code / Codex 安裝、npx skills add，以及 Hypothesis 等可復現示例。
閱讀全文differential-review：Trail of Bits 把 PR 安全差異審查寫成可執行流程
differential-review 是 Trail of Bits 發佈的 Agent Skill，對 PR、commit 和 diff 做安全導向審查：按風險而非行數分流，用 git 歷史抓回歸，定量計算爆炸半徑，把缺測試寫成更高風險，並強制輸出帶行號與攻擊場景的 Markdown 報告。本文覈對官方 SKILL.md、插件 README 與文檔站，說明它解決什麼問題、如何在 Claude Code / Codex / 通用 Skill 目錄裏安裝，以及三類官方用法和不適用場景。
閱讀全文