当 CI 自愈、发布准入、部署管道被同行逐一拆解后，工作流自动化赛道里还剩一块几乎无人深耕的硬骨头——**安全**。本期把镜头转向 2026 年正在爆发的"安全审计引擎"：从仓库扎根的威胁建模，到 git 历史里挖代码主权风险，再到 Anthropic 刚开源的自主漏洞挖掘流水线。它们做的不是静态扫描（SAST 那套已被证明天花板有限），而是把"红队思维 + AppSec 方法论"装进可复用的 Skill，让一次审计从两周压缩到一个下午。 ## 本期评测概述 本期横评 7 款安全审计类 Skills，覆盖 SDLC 全生命周期：**设计期**的威胁建模与代码主权分析、**编码期**的语言级最佳实践审查、**构建期**的 CI 失败自愈、**漏洞发现期**的自主挖掘流水线，外加一个映射到 MITRE ATT&CK / NIST CSF 2.0 六大框架的 817 技能元包。核心发现：变现天花板最高的是"威胁建模即服务"和"自主漏洞挖掘"，前者吃合规刚需（SOC 2 / ISO 27001 都强制要求威胁模型），后者吃 bug bounty 自动化红利；而语言级 best-practices 类反而最难单独收费，更适合做训练营入口和发布门禁的赠品。 ## 评测对比总表 | Skill | 来源 | 功能完整度(25%) | 上手难度(20%) | 变现潜力(25%) | 训练营适用(15%) | 社区活跃(15%) | 加权 | |------|------|:---:|:---:|:---:|:---:|:---:|:---:| | security-threat-model | 官方内置 | ★★★★ | ★★★★ | ★★★★★ | ★★★★★ | ★★★ | **4.30** | | security-ownership-map | 官方内置 | ★★★★ | ★★★ | ★★★★ | ★★★★ | ★★ | **3.55** | | security-best-practices | 官方内置 | ★★★★ | ★★★★★ | ★★★ | ★★★★★ | ★★★ | **4.05** | | gh-fix-ci | 官方内置 | ★★★ | ★★★★★ | ★★★ | ★★★ | ★★★ | **3.40** | | claude-code-owasp | 社区(agamm) | ★★★ | ★★★★★ | ★★ | ★★★★ | ★★★ | **3.30** | | Anthropic-Cybersecurity-Skills | 社区(mukul975) | ★★★★★ | ★★★ | ★★★★ | ★★★★★ | ★★★★ | **4.15** | | defending-code-reference-harness | 官方开源 | ★★★★★ | ★★ | ★★★★ | ★★★ | ★★★★★ | **3.95** | --- ## 逐个深度评测 ### 1. security-threat-model —— 把仓库变成 AppSec 级威胁模型 **来源**：Anthropic 官方内置 Skill，遵循 agentskills.io 标准。**安装**：内置，`/plugin` 即可启用，无需额外依赖。 **核心功能**：这是本期最"重"的方法论引擎。它强制走一套六步工作流，且**每一条架构断言都必须锚定到仓库证据**，明令"不要产出通用清单"。第一步从 repo 提取系统模型（区分运行时行为与 CI/构建/测试代码）；第二步把信任边界落成组件之间的具体边（标注协议、认证、加密、校验、限流）；第三步**校准攻击者能力**——关键是显式列出"非能力"，避免严重性虚高；第四步以滥用路径枚举威胁（数据外泄、提权、完整性破坏、拒绝服务）；第五步用 likelihood×impact 排序；第六步把影响排名的假设交还用户确认。 **评测维度**：功能完整度 ★★★★（流程严密，但缺自动 DFD 出图）；上手 ★★★★（懂 STRIDE/PASTA 即可）；变现 ★★★★★；训练营 ★★★★★；社区 ★★★。 **变现与训练营**：威胁模型是 SOC 2 Type II、ISO 27001 Annex A、PCI DSS 的**强制控制项**，中小企业外包一个 repo 的威胁模型市场价 3000–15000 元。它天然适合做"合规即服务"——接 repo、跑引擎、交付带证据链的 Markdown 报告。训练营角度，它是教 AppSec 方法论的最佳教具，一天工作坊即可让学员理解信任边界与滥用路径。 **竞品对比**：传统工具 IriusRisk、ThreatModeler 年费数万且偏画图填表；本引擎免费、仓库扎根、拒绝幻觉，是个人顾问与小型安全团队的降维打击。 ### 2. security-ownership-map —— 从 git 历史里挖"代码主权"风险 **来源**：Anthropic 官方内置。**依赖**：Python 3 + `networkx`（默认启用社区发现）。 **核心功能**：构建"人↔文件"二部图，计算 **bus factor（巴士因子）**与敏感代码归属，并导出 GraphML 供 Neo4j/Gephi 可视化。亮点是**协同变更图**——用共享 commit 的 Jaccard 相似度聚类，且默认排除 lockfile、`.github/*`、Dependabot 这类"胶水提交"，让聚类反映真实代码流动而非基础设施噪音。脚本 `run_ownership_map.py` + `query_ownership.py` 支持有界 JSON 切片查询。 **评测维度**：功能 ★★★★（图算法扎实）；上手 ★★★（需懂图数据库）；变现 ★★★★；训练营 ★★★★；社区 ★★。 **变现分析**：它的杀手级场景是 **CODEOWNERS 现实校验**——声明式 CODEOWNERS 往往和真实提交归属严重脱节，本引擎能揪出"孤儿敏感代码"（无人维护的鉴权模块）和"单点失败"（关键路径只有一人能改）。这正是工程健康度审计、M&A 技术尽调的核心交付物，按 repo 收费空间 5000–20000 元。 **竞品对比**：GitHub 原生 CODEOWNERS 是静态声明；CodeScene 偏商业健康度但贵。本引擎免费且把"安全敏感度"权重做进了图，是技术尽调顾问的私房工具。 ### 3. security-best-practices —— 语言级的"安全默认值"注入 **来源**：Anthropic 官方内置。**覆盖语言**：Python、JavaScript/TypeScript、Go。 **核心功能**：先探测项目用到的所有语言与框架（前端+后端都查），再从 `references/` 目录加载形如 `<语言>-<框架>-<栈>-security.md` 的指引文件。它有三种工作模式：①**默认安全编码**（写新代码时主动套用）；②**被动检测**（边写边标重大漏洞）；③**完整报告**（按严重度分节、每个发现带数字 ID，可主动修复）。 **评测维度**：功能 ★★★★；上手 ★★★★★（零配置）；变现 ★★★；训练营 ★★★★★；社区 ★★★。 **变现与训练营**：变现偏弱——语言级最佳实践是"商品化知识"，单独收费难。但它是绝佳的**训练营引流课**和**发布门禁赠品**：把"安全默认值"教给初级开发者，转化率极高。变现实战姿势是打包进企业内训或作为威胁建模服务的增值模块。 **竞品对比**：与 `claude-code-owasp` 高度重叠。差异在于本引擎按"语言×框架×栈"三级粒度组织知识，更工程化；OWASP 包更新到 2025–2026 实践但更偏清单式。 ### 4. gh-fix-ci —— CI 失败的红绿自愈闭环 **来源**：Anthropic 官方内置。**依赖**：`gh` CLI（需 repo+workflow scope）。 **核心功能**：用 `gh` 定位失败 PR 检查，拉取 GitHub Actions 日志，总结失败片段，草拟修复方案，**经显式批准后才实施**。脚本 `inspect_pr_checks.py` 专门处理 gh 字段漂移与 job-log 回退。外部 provider（如 Buildkite）被判为越界，仅上报详情 URL。 **评测维度**：功能 ★★★（仅 Actions，不碰 Buildkite）；上手 ★★★★★；变现 ★★★；训练营 ★★★；社区 ★★★。 **变现分析**：它落在安全赛道的外围——CI 往往跑 SAST/依赖扫描，红了就要人救。单独变现价值低，适合打包进"CI 救火" SaaS 或作为开发效能套餐的一环。训练营价值中等，主要教"如何读 CI 日志 + 闭环修复"的工程习惯。 **竞品对比**：与"红绿自愈"类技能定位重叠，胜在官方维护、字段漂移处理稳健。 ### 5. claude-code-owasp —— 社区维护的 OWASP 速查 **来源**：社区 `agamm/claude-code-owasp`。**安装**：`git clone` 后加入 skills 目录。 **核心功能**：把 OWASP 最新（2025–2026）安全最佳实践封装成 Claude Code Skill，面向开发者提供 Top 10、注入、失效访问控制等速查与修复建议。 **评测维度**：功能 ★★★；上手 ★★★★★；变现 ★★；训练营 ★★★★；社区 ★★★。 **变现分析**：纯知识包，难单独收费，更适合作为安全入门训练营的免费教材或引流内容。与官方 best-practices 互补——OWASP 偏宏观清单，官方偏语言级工程细节。 ### 6. Anthropic-Cybersecurity-Skills —— 817 个技能的元包 **来源**：社区 `mukul975/Anthropic-Cybersecurity-Skills`，Apache 2.0。**兼容**：Claude Code、GitHub Copilot、Codex CLI、Cursor、Gemini CLI 等 20+ 平台。 **核心功能**：这是一个**元技能包**——817 个结构化网络安全技能，映射到六大框架：**MITRE ATT&CK**（攻击行为）、**NIST CSF 2.0**（治理）、**MITRE ATLAS**（AI 系统攻击）、**D3FEND**（防御反制）、**NIST AI RMF**（AI 风险管理）、**MITRE F3**（反欺诈）。覆盖 29 个安全域，遵循 agentskills.io 标准。 **评测维度**：功能 ★★★★★（覆盖最广）；上手 ★★★（技能多需筛选）；变现 ★★★★；训练营 ★★★★★；社区 ★★★★。 **变现与训练营**：变现主战场是 **MSSP（托管安全服务）与 SOC 内容工厂**——可批量生成 Sigma 检测规则、红蓝队 playbook、合规映射矩阵。训练营角度它是"安全技能百科全书"，一个学期都讲不完，适合做体系化网安课程的内容底座。 **竞品对比**：市面上多数安全 Skill 只覆盖单一框架；本包六框架交叉映射，是构建安全 Agent 知识图谱的最佳起点。 ### 7. defending-code-reference-harness —— Anthropic 开源的自主挖洞流水线 **来源**：Anthropic 官方开源（2026 年 6 月），Apache 2.0，仓库 `anthropics/defending-code-reference-harness`。 **核心功能**：这是 Anthropic 把"用 Claude 挖洞"的内部方法论开源成**参考实现**——一条自主漏洞发现与修复流水线：Claude 驱动地去**发现、分诊、修复**漏洞。注意它的定位：**不是又一款扫描器，而是 LLM 驱动挖洞的蓝图**。配合官方同步推出的 Claude Code Security（web 端安全能力），它代表了从"规则匹配"到"智能体推理"的范式跃迁。 **评测维度**：功能 ★★★★★；上手 ★★（研究级，需理解 harness 架构）；变现 ★★★★；训练营 ★★★；社区 ★★★★★（官方背书 + 高关注）。 **变现分析**：它是做"付费 bug bounty 自动化 Agent"或"代码安全 SaaS"的最佳地基。研究级上手门槛反而是护城河——能跑通它的人少，先发者可做咨询与定制化交付。 --- ## 安全审计引擎生态分类思维导图 ```mermaid mindmap root((安全审计引擎生态)) 设计期 Design 威胁建模 security-threat-model 六步工作流 仓库证据锚定 信任边界/滥用路径 代码主权 security-ownership-map bus factor CODEOWNERS现实校验 Neo4j/Gephi可视化 编码期 Coding 最佳实践 security-best-practices Python/JS-TS/Go 语言×框架×栈三级粒度 OWASP速查 claude-code-owasp 2025-2026实践 构建期 CI CI自愈 gh-fix-ci Actions日志解析 字段漂移处理 漏洞发现 Discovery 自主挖洞 defending-code-harness 发现/分诊/修复 LLM推理范式 报文取证 pcap-analyzer 5G核心网/IMS 元技能包 Meta 817技能包 Cybersecurity-Skills MITRE ATT&CK NIST CSF 2.0 MITRE ATLAS D3FEND NIST AI RMF MITRE F3 ``` ## 推荐排行榜 **🥇 综合冠军：security-threat-model**（加权 4.30） 方法论严密、变现刚需、训练营友好，三者兼得。合规即服务的最佳载体，建议作为安全审计业务的核心引擎。 **🥈 元技能之王：Anthropic-Cybersecurity-Skills**（加权 4.15） 817 技能 × 六框架映射，覆盖最广。做 SOC 内容工厂或体系化网安训练营的首选内容底座。 **🥉 入门首选：security-best-practices**（加权 4.05） 零配置、上手最快、训练营转化率最高。变现虽弱，却是引流与发布门禁的黄金赠品。 **单项冠军**： - **变现潜力第一**：security-threat-model（合规刚需，单 repo ¥3k–15k） - **变现潜力第二**：defending-code-reference-harness（bug bounty 自动化地基） - **上手最快**：security-best-practices / claude-code-owasp（零依赖） - **训练营最佳**：Anthropic-Cybersecurity-Skills（817 技能，一学期讲不完） - **技术尽调专精**：security-ownership-map（M&A 代码主权审计唯一选择） - **社区关注度最高**：defending-code-reference-harness（Anthropic 官方开源背书） **组合建议**：个人安全顾问的最小可行栈 = `threat-model` + `ownership-map` + `best-practices`，覆盖"设计审查→主权风险→编码门禁"三段，即可对外承接中小企业安全审计与合规交付；想做产品化则把 `defending-code-harness` 作为底层挖洞引擎，叠加 `817 技能包`做检测规则生成，构建 SaaS。 --- ## 参考来源 1. [mukul975/Anthropic-Cybersecurity-Skills — 817 structured cybersecurity skills for AI agents](https://github.com/mukul975/Anthropic-Cybersecurity-Skills) — 817 个结构化安全技能，映射 MITRE ATT&CK / NIST CSF 2.0 / ATLAS / D3FEND / AI RMF / F3 六大框架，29 个安全域，多平台兼容 2. [anthropics/defending-code-reference-harness — LLM-driven autonomous vulnerability discovery](https://github.com/anthropics/defending-code-reference-harness) — Anthropic 2026 年 6 月开源的自主漏洞发现与修复参考流水线，Apache 2.0 3. [Top 9 Claude Skills for Cybersecurity, Hacking, and Vulnerability Scanning — Snyk](https://snyk.io/articles/top-claude-skills-cybersecurity-hacking-vulnerability-scanning/) — 从 YARA 规则编写到 OWASP 合规检查的 9 款 Claude 安全技能盘点 4. [agamm/claude-code-owasp — OWASP Security Skill for Claude Code](https://github.com/agamm/claude-code-owasp) — 社区维护的 OWASP 2025–2026 安全最佳实践 Skill 5. [Making frontier cybersecurity capabilities available to defenders — Anthropic](https://www.anthropic.com/news/claude-code-security) — Anthropic 官方 Claude Code Security 能力发布说明，阐述智能体安全审查范式 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。