当 CI 自愈、发布准入、部署管道被同行逐一拆解后，工作流自动化赛道里还剩一块几乎无人深耕的硬骨头——安全。本期把镜头转向 2026 年正在爆发的"安全审计引擎"：从仓库扎根的威胁建模，到 git 历史里挖代码主权风险，再到 Anthropic 刚开源的自主漏洞挖掘流水线。它们做的不是静态扫描（SAST 那套已被证明天花板有限），而是把"红队思维 + AppSec 方法论"装进可复用的 Skill，让一次审计从两周压缩到一个下午。
本期横评 7 款安全审计类 Skills，覆盖 SDLC 全生命周期：设计期的威胁建模与代码主权分析、编码期的语言级最佳实践审查、构建期的 CI 失败自愈、漏洞发现期的自主挖掘流水线，外加一个映射到 MITRE ATT&CK / NIST CSF 2.0 六大框架的 817 技能元包。核心发现：变现天花板最高的是"威胁建模即服务"和"自主漏洞挖掘"，前者吃合规刚需（SOC 2 / ISO 27001 都强制要求威胁模型），后者吃 bug bounty 自动化红利；而语言级 best-practices 类反而最难单独收费，更适合做训练营入口和发布门禁的赠品。
| Skill | 来源 | 功能完整度(25%) | 上手难度(20%) | 变现潜力(25%) | 训练营适用(15%) | 社区活跃(15%) | 加权 |
|---|---|---|---|---|---|---|---|
| security-threat-model | 官方内置 | ★★★★ | ★★★★ | ★★★★★ | ★★★★★ | ★★★ | 4.30 |
| security-ownership-map | 官方内置 | ★★★★ | ★★★ | ★★★★ | ★★★★ | ★★ | 3.55 |
| security-best-practices | 官方内置 | ★★★★ | ★★★★★ | ★★★ | ★★★★★ | ★★★ | 4.05 |
| gh-fix-ci | 官方内置 | ★★★ | ★★★★★ | ★★★ | ★★★ | ★★★ | 3.40 |
| claude-code-owasp | 社区(agamm) | ★★★ | ★★★★★ | ★★ | ★★★★ | ★★★ | 3.30 |
| Anthropic-Cybersecurity-Skills | 社区(mukul975) | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | ★★★★ | 4.15 |
| defending-code-reference-harness | 官方开源 | ★★★★★ | ★★ | ★★★★ | ★★★ | ★★★★★ | 3.95 |
来源：Anthropic 官方内置 Skill，遵循 agentskills.io 标准。安装：内置，/plugin 即可启用，无需额外依赖。
核心功能：这是本期最"重"的方法论引擎。它强制走一套六步工作流，且每一条架构断言都必须锚定到仓库证据，明令"不要产出通用清单"。第一步从 repo 提取系统模型（区分运行时行为与 CI/构建/测试代码）；第二步把信任边界落成组件之间的具体边（标注协议、认证、加密、校验、限流）；第三步校准攻击者能力——关键是显式列出"非能力"，避免严重性虚高；第四步以滥用路径枚举威胁（数据外泄、提权、完整性破坏、拒绝服务）；第五步用 likelihood×impact 排序；第六步把影响排名的假设交还用户确认。
评测维度：功能完整度 ★★★★（流程严密，但缺自动 DFD 出图）；上手 ★★★★（懂 STRIDE/PASTA 即可）；变现 ★★★★★；训练营 ★★★★★；社区 ★★★。
变现与训练营：威胁模型是 SOC 2 Type II、ISO 27001 Annex A、PCI DSS 的强制控制项，中小企业外包一个 repo 的威胁模型市场价 3000–15000 元。它天然适合做"合规即服务"——接 repo、跑引擎、交付带证据链的 Markdown 报告。训练营角度，它是教 AppSec 方法论的最佳教具，一天工作坊即可让学员理解信任边界与滥用路径。
竞品对比：传统工具 IriusRisk、ThreatModeler 年费数万且偏画图填表；本引擎免费、仓库扎根、拒绝幻觉，是个人顾问与小型安全团队的降维打击。
来源：Anthropic 官方内置。依赖：Python 3 + networkx（默认启用社区发现）。
核心功能：构建"人↔文件"二部图，计算 bus factor（巴士因子）与敏感代码归属，并导出 GraphML 供 Neo4j/Gephi 可视化。亮点是协同变更图——用共享 commit 的 Jaccard 相似度聚类，且默认排除 lockfile、.github/*、Dependabot 这类"胶水提交"，让聚类反映真实代码流动而非基础设施噪音。脚本 run_ownership_map.py + query_ownership.py 支持有界 JSON 切片查询。
评测维度：功能 ★★★★（图算法扎实）；上手 ★★★（需懂图数据库）；变现 ★★★★；训练营 ★★★★；社区 ★★。
变现分析：它的杀手级场景是 CODEOWNERS 现实校验——声明式 CODEOWNERS 往往和真实提交归属严重脱节，本引擎能揪出"孤儿敏感代码"（无人维护的鉴权模块）和"单点失败"（关键路径只有一人能改）。这正是工程健康度审计、M&A 技术尽调的核心交付物，按 repo 收费空间 5000–20000 元。
竞品对比：GitHub 原生 CODEOWNERS 是静态声明；CodeScene 偏商业健康度但贵。本引擎免费且把"安全敏感度"权重做进了图，是技术尽调顾问的私房工具。
来源：Anthropic 官方内置。覆盖语言：Python、JavaScript/TypeScript、Go。
核心功能：先探测项目用到的所有语言与框架（前端+后端都查），再从 references/ 目录加载形如 <语言>-<框架>-<栈>-security.md 的指引文件。它有三种工作模式：①默认安全编码（写新代码时主动套用）；②被动检测（边写边标重大漏洞）；③完整报告（按严重度分节、每个发现带数字 ID，可主动修复）。
评测维度：功能 ★★★★；上手 ★★★★★（零配置）；变现 ★★★；训练营 ★★★★★；社区 ★★★。
变现与训练营：变现偏弱——语言级最佳实践是"商品化知识"，单独收费难。但它是绝佳的训练营引流课和发布门禁赠品：把"安全默认值"教给初级开发者，转化率极高。变现实战姿势是打包进企业内训或作为威胁建模服务的增值模块。
竞品对比：与 claude-code-owasp 高度重叠。差异在于本引擎按"语言×框架×栈"三级粒度组织知识，更工程化；OWASP 包更新到 2025–2026 实践但更偏清单式。
来源：Anthropic 官方内置。依赖：gh CLI（需 repo+workflow scope）。
核心功能：用 gh 定位失败 PR 检查，拉取 GitHub Actions 日志，总结失败片段，草拟修复方案，经显式批准后才实施。脚本 inspect_pr_checks.py 专门处理 gh 字段漂移与 job-log 回退。外部 provider（如 Buildkite）被判为越界，仅上报详情 URL。
评测维度：功能 ★★★（仅 Actions，不碰 Buildkite）；上手 ★★★★★；变现 ★★★；训练营 ★★★；社区 ★★★。
变现分析：它落在安全赛道的外围——CI 往往跑 SAST/依赖扫描，红了就要人救。单独变现价值低，适合打包进"CI 救火" SaaS 或作为开发效能套餐的一环。训练营价值中等，主要教"如何读 CI 日志 + 闭环修复"的工程习惯。
竞品对比：与"红绿自愈"类技能定位重叠，胜在官方维护、字段漂移处理稳健。
来源：社区 agamm/claude-code-owasp。安装：git clone 后加入 skills 目录。
核心功能：把 OWASP 最新（2025–2026）安全最佳实践封装成 Claude Code Skill，面向开发者提供 Top 10、注入、失效访问控制等速查与修复建议。
评测维度：功能 ★★★；上手 ★★★★★；变现 ★★；训练营 ★★★★；社区 ★★★。
变现分析：纯知识包，难单独收费，更适合作为安全入门训练营的免费教材或引流内容。与官方 best-practices 互补——OWASP 偏宏观清单，官方偏语言级工程细节。
来源：社区 mukul975/Anthropic-Cybersecurity-Skills，Apache 2.0。兼容：Claude Code、GitHub Copilot、Codex CLI、Cursor、Gemini CLI 等 20+ 平台。
核心功能：这是一个元技能包——817 个结构化网络安全技能，映射到六大框架：MITRE ATT&CK（攻击行为）、NIST CSF 2.0（治理）、MITRE ATLAS（AI 系统攻击）、D3FEND（防御反制）、NIST AI RMF（AI 风险管理）、MITRE F3（反欺诈）。覆盖 29 个安全域，遵循 agentskills.io 标准。
评测维度：功能 ★★★★★（覆盖最广）；上手 ★★★（技能多需筛选）；变现 ★★★★；训练营 ★★★★★；社区 ★★★★。
变现与训练营：变现主战场是 MSSP（托管安全服务）与 SOC 内容工厂——可批量生成 Sigma 检测规则、红蓝队 playbook、合规映射矩阵。训练营角度它是"安全技能百科全书"，一个学期都讲不完，适合做体系化网安课程的内容底座。
竞品对比：市面上多数安全 Skill 只覆盖单一框架；本包六框架交叉映射，是构建安全 Agent 知识图谱的最佳起点。
来源：Anthropic 官方开源（2026 年 6 月），Apache 2.0，仓库 anthropics/defending-code-reference-harness。
核心功能：这是 Anthropic 把"用 Claude 挖洞"的内部方法论开源成参考实现——一条自主漏洞发现与修复流水线：Claude 驱动地去发现、分诊、修复漏洞。注意它的定位：不是又一款扫描器，而是 LLM 驱动挖洞的蓝图。配合官方同步推出的 Claude Code Security（web 端安全能力），它代表了从"规则匹配"到"智能体推理"的范式跃迁。
评测维度：功能 ★★★★★；上手 ★★（研究级，需理解 harness 架构）；变现 ★★★★；训练营 ★★★；社区 ★★★★★（官方背书 + 高关注）。
变现分析：它是做"付费 bug bounty 自动化 Agent"或"代码安全 SaaS"的最佳地基。研究级上手门槛反而是护城河——能跑通它的人少，先发者可做咨询与定制化交付。
mindmap
root((安全审计引擎生态))
设计期 Design
威胁建模 security-threat-model
六步工作流
仓库证据锚定
信任边界/滥用路径
代码主权 security-ownership-map
bus factor
CODEOWNERS现实校验
Neo4j/Gephi可视化
编码期 Coding
最佳实践 security-best-practices
Python/JS-TS/Go
语言×框架×栈三级粒度
OWASP速查 claude-code-owasp
2025-2026实践
构建期 CI
CI自愈 gh-fix-ci
Actions日志解析
字段漂移处理
漏洞发现 Discovery
自主挖洞 defending-code-harness
发现/分诊/修复
LLM推理范式
报文取证 pcap-analyzer
5G核心网/IMS
元技能包 Meta
817技能包 Cybersecurity-Skills
MITRE ATT&CK
NIST CSF 2.0
MITRE ATLAS
D3FEND
NIST AI RMF
MITRE F3
🥇 综合冠军：security-threat-model（加权 4.30） 方法论严密、变现刚需、训练营友好，三者兼得。合规即服务的最佳载体，建议作为安全审计业务的核心引擎。
🥈 元技能之王：Anthropic-Cybersecurity-Skills（加权 4.15） 817 技能 × 六框架映射，覆盖最广。做 SOC 内容工厂或体系化网安训练营的首选内容底座。
🥉 入门首选：security-best-practices（加权 4.05） 零配置、上手最快、训练营转化率最高。变现虽弱，却是引流与发布门禁的黄金赠品。
单项冠军： - 变现潜力第一：security-threat-model（合规刚需，单 repo ¥3k–15k） - 变现潜力第二：defending-code-reference-harness（bug bounty 自动化地基） - 上手最快：security-best-practices / claude-code-owasp（零依赖） - 训练营最佳：Anthropic-Cybersecurity-Skills（817 技能，一学期讲不完） - 技术尽调专精：security-ownership-map（M&A 代码主权审计唯一选择） - 社区关注度最高：defending-code-reference-harness（Anthropic 官方开源背书）
组合建议：个人安全顾问的最小可行栈 = threat-model + ownership-map + best-practices，覆盖"设计审查→主权风险→编码门禁"三段，即可对外承接中小企业安全审计与合规交付；想做产品化则把 defending-code-harness 作为底层挖洞引擎，叠加 817 技能包做检测规则生成，构建 SaaS。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。