GitHub 仓库 →

Claude Code、Copilot 可以帮你写 Python，但面对「分析内存转储中的凭证窃取痕迹」这种安全场景时，通用 LLM 就像让实习生独自处理 APT 事件——能跑命令，但不知道该跑哪些、顺序是什么、结果怎么解读。

资深分析师的攻防经验存在于个人大脑、Wiki 页面、博客文章中，格式各异、质量参差。AI 无法像人类专家那样「先回忆相关经验，再回忆具体步骤」地调用这些知识。

每次完成安全操作后，手动梳理 MITRE ATT&CK 映射、NIST CSF 控制项，可能要耗费数小时。AI 代理缺乏结构化的框架对齐能力，无法自动生成符合审计标准溯源报告。

全球网络安全岗位空缺超 350 万。SOC 分析师疲于处理海量告警，大量 L1 级安全运营任务（基础资产测绘、IOC 提取、合规核查）仍需人力逐条执行。

754 个生产级技能，覆盖 26 个安全领域

这是开源世界最大的网络安全技能库。从云安全（60 个）到威胁狩猎（55 个），从恶意软件分析（39 个）到 OT/ICS 工控安全（28 个），覆盖了企业安全运营的全栈场景。每个技能都遵循 agentskills.io 开放标准，不是脚本堆砌，而是结构化的「可执行知识」。

五框架映射：操作即合规

每个技能同时映射 MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND、NIST AI RMF 五大行业框架。AI 代理每执行一步操作，都能自动输出符合审计标准的溯源报告，替代以往安全工程师手动梳理数小时的工作量。

渐进式披露：让 AI 高效「翻阅」754 本手册

这是项目最精巧的设计。每个技能拆分为两个层次——AI 先用约 30 个 Token 扫描 YAML 元数据快速定位匹配技能，仅命中后才加载完整工作流（500-2000 Token）。734 个技能全部加载需要 200K-600K Token，而通过渐进式披露，日常操作仅需约 40KB 即可完成发现与过滤。

标准化技能结构：从触发到验证的完整闭环

每个技能不是简单的脚本或命令合集，而是封装了「触发场景 → 前置条件 → 执行步骤 → 结果验证」的完整逻辑闭环。以凭证转储狩猎技能为例，AI 代理会依次执行：

26+ AI 平台兼容，零厂商锁定

不绑定任何特定 AI 厂商。任何能读取结构化 Markdown 的 AI 智能体都可以消费这些技能——从 Claude Code、GitHub Copilot、Cursor 到 Gemini CLI、OpenAI Codex CLI，再到 Devin、SWE-agent 等自主代理框架，以及 LangChain、CrewAI 等编排平台全部兼容。

双 CI/CD 自动化：754 个技能的质量保障

项目设计了双工作流自动化体系：validate-skills.yml 在每次 PR 提交时验证 YAML 语法、必填字段、重复检测；update-index.yml 在合并到 main 后自动扫描全部技能、生成 index.json 并提交回仓库。734 个技能的数据质量完全由自动化保障，消除手动维护风险。

SOC 告警自动化研判

SIEM 触发「LSASS 异常访问」告警后，AI 代理自动扫描安全运维和数字取证领域技能，加载凭证转储狩猎流程，依次运行 Volatility3 插件分析内存转储、关联 Windows 安全日志、映射 ATT&CK T1003 技术，输出结构化研判报告——过去需要资深分析师 2 小时的工作，现在几分钟完成。

云环境安全审计

输入「审计 AWS S3 存储桶安全态势」，AI 精确命中云安全审计技能，执行 aws s3 ls 列出全部桶 → 检查公开访问配置 → 审计桶策略与 ACL → 关联 NIST CSF PR.DS（数据安全）和 D3FEND 防御对策，输出含合规映射的审计报告。

内网渗透测试（红队）

已获取域凭证后，AI 加载 Kerberoasting 技能，运行 Impacket 的 GetUserSPNs.py 枚举 SPN → 请求服务票据 → 用 hashcat 模式 13100 离线破解，全流程按照红队技能工作流执行，并实时记录 ATT&CK T1558（Kerberoasting）映射。

• 最大规模：754 个结构化网络安全技能，覆盖 26 个安全领域，开源世界之最

• 五框架映射：每个技能自动对齐 MITRE ATT&CK / NIST CSF 2.0 / ATLAS / D3FEND / AI RMF，操作即合规

• 渐进式披露：30 Token 扫描 + 按需加载的设计，让 AI 高效消费海量技能知识

• 标准化架构：遵循 agentskills.io 开放标准，26+ AI 平台零锁定兼容

• 自动化保障：双 CI/CD 工作流自动验证与索引，754 个技能的质量由机器守护

• 明确边界：擅长 L1 级安全运营自动化，当前无法替代高级分析师的战术推理，但为 AI Agent 安全能力奠定了标准化基础设施