skill-vetter-pro：面向 Agent Skill 的五维安全审查
skill-vetter-pro（@user_80e2caa5/skill-vetter-pro，v1.0.0）是 SkillHub 社区 it-ops-security 类 Skill，对目标 Skill 做静态分析、Shell 扫描、SHA256 哈希链完整性校验、OSV 依赖 CVE 审计及 strace 行为监控，输出可安装、谨慎或拒绝裁决。本文基于官方页面说明五维能力、SkillHub CLI 与提示词安装方式、触发词用法及行为执行等注意事项，便于装包前结构化体检。
阅读全文skill-scanner：安装前本地静态扫描 Agent Skill 安全风险
skill-scanner 是 SkillHub 社区 Skill（@user_87fe1a85/gwchen17，v1.0.0），由腾讯朱雀 Lab A.I.G（AI-Infra-Guard）支撑，在安装或使用任意 Agent Skill 前做 100% 本地静态安全分析，文件与凭据不外传。无需 API Key，兼容 Cursor、Claude Code、Windsurf、OpenClaw 等。文章说明核心能力、skillhub CLI 安装路径与对话触发语，并区分其与日常开发调试类请求的边界。
阅读全文static-analysis：把 CodeQL、Semgrep 与 SARIF 串成可复用的 SAST 工作流
Trail of Bits skills 市场中的 static-analysis 插件，将 CodeQL 深度分析、Semgrep 规则集扫描与 SARIF 解析合并为可复用的 Agent 工作流。内含 codeql、semgrep、sarif-parsing 三个 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章说明安装命令、典型调用方式、审批闸门与只读扫描差异，以及建库质量与 metrics 关闭等实践约束，便于在 AI 辅助安全审计中系统化落地 SAST。
阅读全文testing-handbook-skills：把 Testing Handbook 变成可执行的 AppSec 测试工作流
testing-handbook-skills 是 Trail of Bits skills 市场中的 Code Auditing 插件，把 appsec.guide 上的 Testing Handbook 结构化为 Claude Code/Codex 可用的 Skill：含 testing-handbook-generator 元技能、14 个已生成的 fuzzer/技术/领域专题，以及 validate-skills.py 校验。文章说明其定位、生成工作流、Claude Code 与 Codex 安装命令、典型生成提示与 uv 校验用法，并交代手册路径解析、未生成交叉引用及工具环境需自备等注意点。
阅读全文dsh-plugin-guard：DeepSeek Harness 插件的安全检查工具
dsh-plugin-guard 是一款专为 DeepSeek Harness (DSH) 设计的离线静态安全扫描插件。它旨在解决引入第三方插件时的风险问题，通过静态分析检测提示词注入、文件破坏、凭据泄露、供应链投毒及 Unicode 欺骗等高危信号。该工具默认只读不执行，支持在 Harness 中通过命令扫描或独立命令行运行。开发者需注意，静态扫描仅能发现已知风险，无法替代沙箱与人工审查，退出码仅代表风险等级。
阅读全文semgrep-rule-creator：用 Agent 写出可测试的 Semgrep 安全规则
semgrep-rule-creator 是 Trail of Bits 推出的 Agent Skill，用来创建可检测安全漏洞、Bug 模式与代码模式的自定义 Semgrep 规则。它不跑现成规则集，而是强制 Agent 按测试先行、AST 分析、污点模式优先、全部测通后再优化的流程产出规则。本文依据官方 SKILL.md、插件 README 与技能市场说明，整理安装方式、七步工作流、eval 污点示例以及使用边界。
阅读全文