trailofbits/skills

项目概览

由 Trail of Bits 维护的技能目录，覆盖智能合约扫描、代码上下文审计、静态分析工具链、验证与密码学正确性、供应链检查等安全工作流，并以 Claude 兼容市场方式分发，适合评估 AI 代理在安全工程中的可复用能力。

项目类型

评测观测

部署方式

查看项目说明

License

CC-BY-SA-4.0

适合谁

• 需要在代理宿主中复用安全分析、测试与开发工作流的安全工程师与开发者。
• 具备编程能力、能审查插件指令与工具依赖边界的用户。
• 希望以 Claude 插件市场或兼容 Codex 方式加载安全技能的团队。

核心能力

• 文档记载了 Claude 插件市场、兼容 Codex 的加载方式以及本地父目录注册。工作区导入使用 .claude-plugin/marketplace.json；agents/openai.yaml 需要自己的 display_name/short_description，导入失败后需在已发布元数据修复后重新同步。文档未安装任何插件。
• building-secure-contracts 列出 6 条区块链的扫描器和 5 个指南助手；entry-point-analyzer 用于查找会改变合约状态的入口点。实际支持的版本、检测覆盖与部署安全性未经验证。
• 编目了审计上下文构建、C/C++ 源码解析覆盖审查、Rust 的 safe/unsafe/内存/并发/FFI/async/SARIF 审查、量纲单位/公式分析以及 sharp-edges 高风险 API/配置检查。描述不保证完整的漏洞覆盖。
• differential-review 使用历史进行差异审查；variant-analysis 搜索相关缺陷；fp-check 要求门控审查；insecure-defaults 使用逐文件反驳验证；vulnerability-triage-brocards 依据 7 条原则进行接受/驳回/补充信息。这些是工作流声明，不是独立裁决结果。
• 编目了 CodeQL/Semgrep/SARIF 工具包、带测试验证的规则创建与语言变体、依赖项公告/版本/发布者/安装脚本检查、Burp 项目提取、GitHubActions 代理安全审计以及 TestingHandbook 的模糊测试/sanitizer/覆盖率技能。工具数据库、凭据和可选外部分析需另行配置。
• trailmark 描述了代码图分析、有界的子代理上下文切片、Mermaid 图、变异分诊与协议验证。该目录不授权在此执行委托或实际代码执行。
• 列出了常数时间与编译器侧信道审查、C/C++/Rust 的秘密清零、存活变异分析、补丁后可复现的变体/回归检查、使用 Hypothesis/fast-check/proptest/Echidna/Medusa 的性质测试、规约到代码的检查以及 Lean4/Mathlib 证明。形式化可靠性与完整安全覆盖未被确立。
• YARA 编写技能包含 lint/atom 分析；DWARF 技能解析/搜索 DIE 与完整性；FirebaseAPK 扫描配置错误。未执行恶意软件运行、二进制解析、APK 扫描或外部目标探测。

限制与风险

• 全部 18 个保留的 README 章节已完整阅读；单个插件、AGENTS.md、外部工具、链接的证明/缺陷报告以及宿主市场实现未检查。未安装插件，未执行任何工作流、模型调用、委托、扫描器、分支清理、合并、评论或命令。目录声明不构成对安全性或兼容性的独立保证。
• 所选插件可能读取敏感代码/工件、联系宿主模型或经认证的工具，并执行仓库维护。实际使用前需审查权限与依赖/提供方条款。CC BY-SA 4.0 仅适用于所述工作，不授予对第三方扫描器、服务或源码目标的整体权利。

如何开始

• 难度为中等：插件依赖宿主代理与任务专属分析器，README 未定义通用依赖或权限矩阵；部分开发技能会改变抓取路由、合并或删除工作流，安装不等于行动授权。建议路径：验证所用宿主市场行为与插件来源可信度（含必要的工作区接口元数据）；仅选择所需插件条目并在使用前检查其指令、工具依赖与账户/配置边界；仅在经授权的工件上运行分析，用独立证据验证发现，并在任何外部或破坏性变更前审查维护/插件操作。

核验依据

• README: A Claude Code plugin marketplace from Trail of Bits providing skills to enhance AI-assisted security analysis, testing, and development workflows. Codex can load this marketplace…
• README: ``` /plugin marketplace add trailofbits/skills ```
• README: ``` /plugin menu ```
• README: Codex supports Claude plugin marketplaces directly, so this repository does not need Codex-specific sidecar metadata. Install the marketplace with: ```sh codex plugin marketplace…
• README: Use this repository's `.claude-plugin/marketplace.json` for workspace imports. Skills that include `agents/openai.yaml` also need `interface.display_name` and `interface.short_des…

来源更新时间：2026-10-11T20:23:16Z

打开原始 GitHub 项目