本期聚焦工作流自动化中最被低估却最具变现价值的细分赛道——安全流水线（Security Pipeline）。前几轮已覆盖部署、发布准入、CI 自愈与运维观测，但当代码由 Agent 大规模生成、供应链投毒、提示注入与密钥泄露成为常态时，"扫描完才放行"才是流水线真正的最后一道闸。本次从本地可装的 security-review、security-best-practices、security-threat-model、security-ownership-map、code-review 五款官方/准官方引擎，外加生态代表 Masriyan 网安技能包（15 合 1） 入手，围绕功能完整度、上手难度、变现潜力、训练营适用性、社区活跃度五维打分。结论先行：威胁建模与所有权治理是两座被低估的金矿，纯扫描类已高度商品化。
| 引擎 | 来源 | 功能完整度（25%） | 上手难度（20%） | 变现潜力（25%） | 训练营适用（15%） | 社区活跃（15%） | 加权 |
|---|---|---|---|---|---|---|---|
| security-review | Anthropic 官方 | ★★★★★ | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | 4.20 |
| security-best-practices | 官方示例 | ★★★ | ★★★★ | ★★★ | ★★★★ | ★★★ | 3.30 |
| security-threat-model | 社区精选 | ★★★★ | ★★★ | ★★★★★ | ★★★★★ | ★★★★ | 4.05 |
| security-ownership-map | 社区精选 | ★★★★ | ★★ | ★★★★ | ★★★ | ★★★ | 3.35 |
| code-review（对比项） | Anthropic 官方 | ★★★★★ | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | 4.20 |
| Masriyan 网安技能包 | GitHub 开源 | ★★★★★ | ★★★ | ★★★★★ | ★★★★★ | ★★★★ | 4.30 |
mindmap
root((安全流水线引擎))
漏洞扫描 Scan
security-review 官方
agamm/claude-code-owasp
Masriyan 扫描模块
威胁建模 Model
security-threat-model STRIDE
CSO Security Audit
Kraxi code-first
合规与最佳实践
security-best-practices py/js/go
OWASP Top 10 LLM 2025
Secure-LLM-Pipeline
治理与所有权
security-ownership-map 总线因子
CODEOWNERS 校验
安全运营 SOC
AgentSecOps SecOpsAgentKit
Threat Hunting + MCP
通用代码审查
code-review 正确性
simplify 质量收敛
来源：Anthropic 官方内置命令，对应 Claude 帮助中心《Automated Security Reviews in Claude Code》一文，2026 年又以 security-guidance 插件 形式扩展出 25+ 高危项检查。安装：开箱即用，直接 /security-review 或在 PR 流程中触发，无需额外配置。
核心功能：对当前 diff（而非全仓）做安全审查，识别注入、XSS、硬编码密钥、不安全反序列化等，并给出修复建议。它最大的优势是"贴着变更走"——只评审你这次改动，token 消耗低、误报少，天然适合挂在 pre-commit 或 PR 检查里。
五维评分：功能 ★★★★★（官方背书、持续更新）、上手 ★★★★★（零配置）、变现 ★★★（商品化严重，难单独收费）、训练营 ★★★★（适合做"安全门禁"演示课）、社区 ★★★★★（官方维护、文档齐全）。
变现/训练营：单独变现空间小，更适合作为"课程通关条件"——学员提交的 PR 必须先过 security-review 才能合并，把安全意识焊进肌肉记忆。与 Snyk、GitHub Advanced Security 相比，它的卖点是"零成本、贴 diff、中文友好"，但深度与规则库厚度不及专业商业产品。
来源：官方示例技能。安装：随 Skills 包分发，触发词需用户"显式请求安全最佳实践指导"。
核心功能：针对 Python、JavaScript/TypeScript、Go 三类语言做框架级安全最佳实践审查并提改进建议。它的设计哲学是"窄而深"——只覆盖三大主流后端语言，明确声明不处理通用代码审查或调试，避免与 code-review 抢戏。
五维评分：功能 ★★★（语言覆盖窄、不自动修复）、上手 ★★★★（限定语言反而降低心智负担）、变现 ★★★（可包装成"Python 安全代码助手"）、训练营 ★★★★（分语言教学极佳）、社区 ★★★（偏静态文档型，迭代慢）。
变现/训练营：变现亮点在于"垂直语言订阅"——把 Go 安全实践做成针对云原生团队的付费插件。训练营中，它是讲"语言陷阱"最好的教具：Python 的 pickle 反序列化、JS 的原型链污染、Go 的 goroutine 竞态，都能即查即讲。竞品 agamm/claude-code-owasp 覆盖面更广但颗粒度更粗。
来源：社区精选，对应 security-threat-model 技能（Claude Skills Hub、skillsplayground 均有收录），生态里还有 CSO Security Audit、Kraxi code-first 等同类。安装：本地 Skills 目录即可加载。
核心功能：以仓库为根，枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，最终产出一份精炼的 Markdown 威胁模型报告。它本质上是把传统 STRIDE/DREAD 方法论"代码化"——不是凭空想象威胁，而是从真实代码的数据流、入口点反推攻击面。
五维评分：功能 ★★★★（方法论扎实、输出结构化）、上手 ★★★（需懂 STRIDE 等基础）、变现 ★★★★★（人工威胁建模单次报价 5 千–5 万，自动化空间巨大）、训练营 ★★★★★（AppSec 黄金教材）、社区 ★★★★（多个开源版本活跃）。
变现/训练营：这是六款里变现天花板最高的。企业威胁建模咨询是典型高客单、低标准化的服务，把它产品化为"一键生成 STRIDE 报告 + DREAD 评分 + 缓解清单"的 SaaS，可对标 IriusRisk、ThreatModeler。训练营里，它是从"写代码"跨越到"设计安全架构"的关键一跃，4 课时即可带学员完成一个真实模块的完整建模。
来源：社区精选，定位非常独特。安装：本地 Skills 加载，依赖 git 历史与可选的图数据库做可视化。
核心功能：分析 git 仓库，构建人—文件的安全所有权拓扑，计算总线因子（bus factor）和敏感代码所有权，并导出 CSV/JSON 供图数据库或可视化工具使用。它回答的不是"代码有没有漏洞"，而是"这段敏感代码只掌握在一个人手里吗？这人离职会瘫痪哪个模块？"——典型的工程治理与供应链韧性视角。
五维评分：功能 ★★★★（视角稀缺、输出可对接）、上手 ★★（涉及图数据库与 git 统计）、变现 ★★★★（企业治理 SaaS 切入点）、训练营 ★★★（偏管理课，技术味淡）、社区 ★★★（小众但稳定）。
变现/训练营：变现路径是"工程健康度仪表盘"——结合 CODEOWNERS 真实性校验、敏感代码孤岛识别，卖给 CTO 与平台工程团队。训练营中它适合"技术管理"或"DevEx"方向的选修课，而非纯开发课。竞品几乎没有同类 Agent 技能，蓝海属性强。
来源：Anthropic 官方命令。安装：开箱即用，支持 --comment（贴 PR 内联评论）、--fix（直接改）、low/medium/high/max 四档强度。
核心功能：审查当前 diff 的正确性 bug与复用/简化/效率清理。它不是安全引擎，但放在本批次里做对比，能清楚界定"安全审查 vs 质量审查"的边界——code-review 抓逻辑错误与冗余，security-review 抓漏洞与密钥，两者在流水线里是互补而非替代。
五维评分：功能 ★★★★★、上手 ★★★★★、变现 ★★★、训练营 ★★★★、社区 ★★★★★。与 anthroos/claude-code-review-skill（280+ 检查、15 维度）相比，官方版更轻、更聚焦 diff；社区版更全、更适合做一次性深度审计。
变现/训练营：变现靠"打包"——把 code-review + security-review + simplify 组成"AI 代码门禁三件套"对外。训练营里它是讲"什么是好的 PR"的最佳抓手。
来源：GitHub 开源 Masriyan/Claude-Code-CyberSecurity-Skill，涵盖进攻性与防御性两大方向。安装：克隆到 .claude/skills 即可，可整体或按需启用。
核心功能：一个"全家桶"——把扫描、审计、OWASP 合规、YARA 规则、漏洞分析等 15 个子技能打包。对标 Snyk 盘点的"Top 9 网安技能"思路，但更成体系。它的价值不在单点深度，而在覆盖广度与开箱即用的完整流水线。
五维评分：功能 ★★★★★（广度碾压）、上手 ★★★（15 个技能需熟悉）、变现 ★★★★★（可整包做"红队/蓝队训练营"）、训练营 ★★★★★（实战靶场素材足）、社区 ★★★★（GitHub 活跃）。
变现/训练营：变现上，"安全技能全家桶"可做成两类产品——给企业的 DevSecOps 一键部署包，给个人的网安训练营实战课（结合 AgentSecOps/SecOpsAgentKit 的 shift-left 理念）。训练营适用性满分：进攻+防御双线，能支撑一个完整的 8 周网安入门营。
🥇 综合最佳（加权分） 1. Masriyan 网安技能包（4.30）——广度与训练营双满 2. security-review / code-review（4.20 并列）——官方双门禁 3. security-threat-model（4.05）——变现潜力王
💰 变现潜力榜 1. security-threat-model（5.0）——威胁建模咨询自动化，高客单 2. Masriyan 网安技能包（5.0）——整包产品化空间大 3. security-ownership-map（4.0）——治理 SaaS 蓝海
🎓 训练营适用榜 1. security-threat-model（5.0）——AppSec 跨越式教学 2. Masriyan 网安技能包（5.0）——8 周网安营素材 3. security-best-practices（4.0）——分语言陷阱教学
⚡ 上手最快榜 1. security-review / code-review（5.0）——零配置贴 diff 2. security-best-practices（4.0）——限定语言降负担 3. security-threat-model（3.0）——需方法论基础
把六款引擎串成一条"扫描即放行"的流水线，效果远胜单兵作战：
flowchart LR
A[Agent 生成代码] --> B[code-review 正确性]
B --> C[security-review 漏洞]
C --> D[security-best-practices 语言实践]
D --> E{全过?}
E -->|否| F[自动 --fix 或打回]
E -->|是| G[合并发布]
H[每周/每月] --> I[security-threat-model 建模]
H --> J[security-ownership-map 治理]
I --> K[更新威胁清单]
J --> L[敏感代码孤岛告警]
横向（PR 级）做即时门禁，纵向（周期级）做建模与治理——这正是 OWASP CI/CD Top 10 与 OWASP LLM Top 10 共同强调的"分层防御"。值得注意的是，当流水线本身由 AI Agent 驱动时，间接提示注入会成为新攻击面：恶意 PR 内容、构建日志都可能劫持审查 Agent。因此建议把 security-review 的输出与规则型扫描器（如 TruffleHog 找密钥、Semgrep 找模式）做交叉验证，Agent 负责"理解"，规则器负责"兜底"，两者不可互替。
六款引擎各有生态位：官方 security-review/code-review 是流水线标配的"两道闸门"，胜在零成本与贴 diff；security-best-practices 适合做语言定向的进阶训练；security-threat-model 与 security-ownership-map 则是两座尚未被充分开采的金矿——前者把高客单的威胁建模咨询产品化，后者切入了几乎无竞品的工程治理赛道。Masriyan 全家桶则证明：在网安领域，"打包广度"比"单点深度"更适合做成可付费的产品与训练营。对想在 2026 年变现的开发者而言，优先级应是 威胁建模 > 所有权治理 > 语言实践包 > 纯扫描——后者已是一片红海。
security-review[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。