skill-vetter-pro：面向 Agent Skill 的五維安全審查
skill-vetter-pro（@user_80e2caa5/skill-vetter-pro，v1.0.0）是 SkillHub 社區 it-ops-security 類 Skill，對目標 Skill 做靜態分析、Shell 掃描、SHA256 哈希鏈完整性校驗、OSV 依賴 CVE 審計及 strace 行爲監控，輸出可安裝、謹慎或拒絕裁決。本文基於官方頁面說明五維能力、SkillHub CLI 與提示詞安裝方式、觸發詞用法及行爲執行等注意事項，便於裝包前結構化體檢。
閱讀全文skill-scanner：安裝前本地靜態掃描 Agent Skill 安全風險
skill-scanner 是 SkillHub 社區 Skill（@user_87fe1a85/gwchen17，v1.0.0），由騰訊朱雀 Lab A.I.G（AI-Infra-Guard）支撐，在安裝或使用任意 Agent Skill 前做 100% 本地靜態安全分析，文件與憑據不外傳。無需 API Key，兼容 Cursor、Claude Code、Windsurf、OpenClaw 等。文章說明核心能力、skillhub CLI 安裝路徑與對話觸發語，並區分其與日常開發調試類請求的邊界。
閱讀全文static-analysis：把 CodeQL、Semgrep 與 SARIF 串成可複用的 SAST 工作流
Trail of Bits skills 市場中的 static-analysis 插件，將 CodeQL 深度分析、Semgrep 規則集掃描與 SARIF 解析合併爲可複用的 Agent 工作流。內含 codeql、semgrep、sarif-parsing 三個 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章說明安裝命令、典型調用方式、審批閘門與只讀掃描差異，以及建庫質量與 metrics 關閉等實踐約束，便於在 AI 輔助安全審計中系統化落地 SAST。
閱讀全文testing-handbook-skills：把 Testing Handbook 變成可執行的 AppSec 測試工作流
testing-handbook-skills 是 Trail of Bits skills 市場中的 Code Auditing 插件，把 appsec.guide 上的 Testing Handbook 結構化爲 Claude Code/Codex 可用的 Skill：含 testing-handbook-generator 元技能、14 個已生成的 fuzzer/技術/領域專題，以及 validate-skills.py 校驗。文章說明其定位、生成工作流、Claude Code 與 Codex 安裝命令、典型生成提示與 uv 校驗用法，並交代手冊路徑解析、未生成交叉引用及工具環境需自備等注意點。
閱讀全文dsh-plugin-guard：DeepSeek Harness 插件的安全檢查工具
dsh-plugin-guard 是一款專爲 DeepSeek Harness (DSH) 設計的離線靜態安全掃描插件。它旨在解決引入第三方插件時的風險問題，通過靜態分析檢測提示詞注入、文件破壞、憑據泄露、供應鏈投毒及 Unicode 欺騙等高危信號。該工具默認只讀不執行，支持在 Harness 中通過命令掃描或獨立命令行運行。開發者需注意，靜態掃描僅能發現已知風險，無法替代沙箱與人工審查，退出碼僅代表風險等級。
閱讀全文semgrep-rule-creator：用 Agent 寫出可測試的 Semgrep 安全規則
semgrep-rule-creator 是 Trail of Bits 推出的 Agent Skill，用來創建可檢測安全漏洞、Bug 模式與代碼模式的自定義 Semgrep 規則。它不跑現成規則集，而是強制 Agent 按測試先行、AST 分析、污點模式優先、全部測通後再優化的流程產出規則。本文依據官方 SKILL.md、插件 README 與技能市場說明，整理安裝方式、七步工作流、eval 污點示例以及使用邊界。
閱讀全文