安全审计技能包

项目简介

面向 DeepSeek Harness 的安全审计方法论 — 8 个 agent 技能，零运行时代码。 密钥扫描 · 依赖审计 · 供应链评审 · 提示注入审查 · 审计总编排 · 威胁建模 · 漏洞情报 · 事件响应 这是什么？

每个技能都可被模型直接执行：每个步骤都是真实命令（gitleaks、trivy、pnpm audit、npm view、git …），附预期输出样例、退出码判据与误报判据，不写任何不可验证的断言。 为什么是技能，而不是工具？ 形态 · 做什么 · 做不到什么 形态: 工具型插件（如扫描器） · 做什么: 执行扫描、返回发现 · 做不到什么: 解读告警、误报分级、写脱敏报告 形态: 协议层 · 做什么: 约束某个协议 · 做不到什么: 跨仓库、跨 agent 泛化 形态: 技能包（本仓库） · 做什么: 传授方法论：分级、报告、修复排序 · 做不到什么: 亲自执行扫描

与工具型安全插件同装时两者互补：工具负责跑扫描，技能负责解读、分级与报告——模型按本包方法论调用工具插件的工具，产出可复核的审计报告。