---

⚠️ 社区项目 — 这是一个独立的、由社区创建的项目。与 Anthropic PBC 无关联。

让任何 AI 代理具备高级分析师级别的安全技能

初级分析师知道在可疑内存转储上运行哪个 Volatility3 插件，哪些 Sigma 规则能够检测到 Kerberoasting，以及如何跨三家云服务提供商评估一次云环境入侵。而你的 AI 代理并不具备这些技能——除非你为它注入这些知识。

本仓库包含754 种结构化的网络安全技能，覆盖26 个安全领域，每项技能均遵循 agentskills.io 开放标准。每项技能都映射到五个行业框架——MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND 和 NIST AI RMF——使其成为唯一一个具有统一跨框架覆盖的开源技能库。克隆它，将你的代理指向该库，你的下一次安全调查就能在几秒钟内获得专家级指导。

五个框架，一个技能库

没有其他开源技能库能将每项技能同时映射到所有五个框架。一项技能，五重合规勾选。

框架	版本	本仓库中的范围	对应内容
MITRE ATT&CK	v18	14 个战术 · 200+ 技术	攻击者行为及 TTP
NIST CSF 2.0	2.0	6 个功能 · 22 个类别	组织安全态势
MITRE ATLAS	v5.4	16 个战术 · 84 个技术	AI/ML 对抗性威胁
MITRE D3FEND	v1.3	7 个类别 · 267 个技术	防御性对策
NIST AI RMF	1.0	4 个功能 · 72 个子类别	AI 风险管理

示例——一项技能同时映射到所有五个框架：

技能	ATT&CK	NIST CSF	ATLAS	D3FEND	AI RMF
analyzing-network-traffic-of-malware	T1071	DE.CM	AML.T0047	D3-NTA	MEASURE-2.6

快速入门

# 选项 1：npx（推荐）
npx skills add mukul975/Anthropic-Cybersecurity-Skills

# 选项 2：Git 克隆
git clone https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git
cd Anthropic-Cybersecurity-Skills

可立即与 Claude Code、GitHub Copilot、OpenAI Codex CLI、Cursor、Gemini CLI 以及任何兼容 agentskills.io 的平台协同工作。

🚀 在游乐场上试用

无需设置，即可亲身体验 Casky.ai。

→ 在 Casky.ai 上启动游乐场

游乐场允许你：

• 针对真实目标运行实时网络安全技能练习
• 实时查看 AI 代理执行结构化技能的过程
• 交互式探索 MITRE ATT&CK 映射的工作流
• 测试威胁狩猎、DFIR 和渗透测试场景

无需安装，无需配置，直接打开即可开始。

为何创建此项目

2024 年，全球网络安全人才缺口达到480 万个空缺岗位（ISC2）。AI 代理可以帮助填补这一缺口——但前提是它们必须具备结构化的领域知识作为基础。如今的代理可以编写代码和搜索网页，却缺乏将通用大模型转变为合格安全分析师所需的实践手册。

现有的安全工具仓库通常只提供字典、载荷或漏洞利用代码，而没有任何东西能让 AI 代理掌握高级分析师所遵循的结构化决策流程：何时使用哪种技术、需要检查哪些先决条件、如何分步执行以及如何验证结果。而本项目正是为了填补这一空白。

Anthropic 网络安全技能并非脚本或清单的集合，而是一个专为 agentskills.io 标准从头构建的原生 AI 知识库——采用 YAML 前置元数据实现亚秒级发现，以结构化 Markdown 提供分步执行指南，并配有参考文件以提供深入的技术背景。每项技能都记录了真实的从业者工作流程，而非自动生成的摘要。

内容概览 — 26个安全领域

领域	技能数量	关键能力
云安全	60	AWS、Azure、GCP加固 · CSPM · 云取证
威胁狩猎	55	基于假设的狩猎 · LOTL检测 · 行为分析
威胁情报	50	STIX/TAXII · MISP · 情报源集成 · 攻击者画像
Web应用安全	42	OWASP Top 10 · SQL注入 · XSS · SSRF · 反序列化
网络安全	40	IDS/IPS · 防火墙规则 · VLAN分段 · 流量分析
恶意软件分析	39	静态/动态分析 · 逆向工程 · 沙箱技术
数字取证	37	磁盘镜像 · 内存取证 · 时间线重建
安全运营	36	SIEM关联 · 日志分析 · 告警分类
身份与访问管理	35	IAM策略 · PAM · 零信任身份认证 · Okta · SailPoint
SOC运营	33	应急响应剧本 · 上报流程 · 指标体系 · 桌面演练
容器安全	30	K8s RBAC · 镜像扫描 · Falco · 容器取证
工业控制系统安全	28	Modbus · DNP3 · IEC 62443 · 历史数据保护 · SCADA
API安全	28	GraphQL · REST · OWASP API Top 10 · WAF绕过
漏洞管理	25	Nessus · 扫描流程 · 补丁优先级排序 · CVSS
事件响应	25	泄露遏制 · 勒索软件响应 · IR应急剧本
红队演练	24	全面渗透测试 · AD攻击 · 钓鱼模拟
渗透测试	23	网络 · Web · 云 · 移动 · 无线渗透测试
端点安全	17	EDR · LOTL检测 · 无文件型恶意软件 · 持久化追踪
DevSecOps	17	CI/CD安全 · 代码签名 · Terraform审计
钓鱼防御	16	邮件认证 · BEC检测 · 钓鱼事件响应
密码学	14	TLS · Ed25519 · 证书透明度 · 密钥管理
零信任架构	13	BeyondCorp · CISA成熟度模型 · 微隔离
移动安全	12	Android/iOS分析 · 移动渗透测试 · MDM取证
勒索软件防御	7	前兆检测 · 响应 · 恢复 · 加密分析
合规与治理	5	CIS基准 · SOC 2 · 监管框架
欺骗技术	2	蜜罐令牌 · 泄露检测诱饵

AI代理如何使用这些技能

每项技能仅需约30个token即可完成简要扫描（仅前言部分），而完整加载则需要500至2,000个token（完整工作流）。这种渐进式披露架构使代理能够在单次遍历中搜索全部754项技能，同时不会超出上下文窗口限制。

用户提示：“分析此内存转储以寻找凭证窃取迹象”

代理内部流程：

  1. 扫描754项技能的前言部分（每次约30个token）
     → 通过匹配标签、描述和所属领域，识别出12项相关技能

  2. 加载排名前三的匹配项：
     • 使用Volatility3进行内存取证
     • 搜索LSASS中的凭证转储
     • 分析Windows事件日志中的凭证访问记录

  3. 按照结构化的“工作流程”部分逐步执行
     → 运行Volatility3插件，检查LSASS访问模式，
        并与事件日志证据进行关联

  4. 利用“验证”部分确认结果
     → 确认IOC指标，将发现映射到ATT&CK T1003（凭证转储）

如果没有这些技能，代理只能猜测工具命令并遗漏关键步骤。有了它们，代理就能按照资深DFIR分析师所使用的标准流程执行任务。

技能的构成

每项技能都遵循一致的目录结构：

skills/使用Volatility3进行内存取证/
├── SKILL.md              ← 技能定义（YAML前言 + Markdown正文）
├── references/
│   ├── standards.md      ← MITRE ATT&CK、ATLAS、D3FEND、NIST映射
│   └── workflows.md      ← 深度技术流程参考
├── scripts/
│   └── process.py        ← 实用辅助脚本
└── assets/
    └── template.md       ← 填充后的检查清单和报告模板

YAML前言示例

---
name: 使用Volatility3进行内存取证
description: >-
  利用Volatility3框架分析内存转储，提取正在运行的进程、网络连接、注入代码及恶意软件痕迹。
domain: 网络安全
subdomain: 数字取证
tags: [取证、内存分析、Volatility3、事件响应、DFIR]
atlas_techniques: [AML.T0047]
d3fend_techniques: [D3-MA、D3-PSMD]
nist_ai_rmf: [MEASURE-2.6]
nist_csf: [DE.CM-01、RS.AN-03]
version: "1.2"
author: mukul975
license: Apache-2.0
---

Markdown正文各部分

## 使用场景
触发条件——AI代理应在何时激活此技能？

## 前置条件
所需的工具、访问权限级别以及环境配置。

## 工作流程
包含具体命令和决策点的分步执行指南。

## 验证
如何确认技能已成功执行。

Frontmatter 字段：name（短横线分隔，1–64 个字符）、description（富含关键词，便于代理发现）、domain、subdomain、tags、atlas_techniques（MITRE ATLAS ID）、d3fend_techniques（MITRE D3FEND ID）、nist_ai_rmf（NIST AI RMF 参考文献）、nist_csf（NIST CSF 2.0 类别）。MITRE ATT&CK 技术映射记录在每个技能的 references/standards.md 文件中，以及随发布附带的 ATT&CK Navigator 层中。

📊 MITRE ATT&CK Enterprise 覆盖范围 — 全部 14 个战术

 

战术	ID	覆盖程度	关键技能
侦察	TA0043	强	OSINT、子域名枚举、DNS 侦察
资源开发	TA0042	中	钓鱼基础设施、C2 设置检测
初始访问	TA0001	强	钓鱼模拟、漏洞利用检测、强制浏览
执行	TA0002	强	PowerShell 分析、无文件恶意软件、脚本块日志记录
持久化	TA0003	强	计划任务、注册表、服务账户、LOTL
权限提升	TA0004	强	Kerberoasting、AD 攻击、云环境权限提升
防御规避	TA0005	强	混淆技术、Rootkit 分析、规避检测
凭证访问	TA0006	强	Mimikatz 检测、pass-the-hash、凭证转储
发现	TA0007	中	BloodHound、AD 枚举、网络扫描
横向移动	TA0008	强	SMB 漏洞利用、使用 Splunk 检测横向移动
收集	TA0009	中	邮件取证、数据暂存检测
命令与控制	TA0011	强	C2 信标通信、DNS 隧道、Cobalt Strike 分析
数据渗出	TA0010	强	DNS 数据渗出、DLP 控制、数据丢失检测
影响	TA0040	强	勒索软件防御、加密分析、恢复

版本 1.0.0 的发布资源 中包含一个 ATT&CK Navigator 层文件，用于可视化覆盖范围映射。

注： ATT&CK v19 将于 2026 年 4 月 28 日发布——防御规避（TA0005）将被拆分为两个新战术：隐蔽 和 削弱防御。技能映射将在后续版本中更新。

📊 NIST CSF 2.0 对齐 — 全部 6 个功能

 

功能	技能数量	示例
治理 (GV)	30+	风险战略、政策框架、角色与职责
识别 (ID)	120+	资产发现、威胁态势评估、风险分析
保护 (PR)	150+	IAM 强化、WAF 规则、零信任、加密
检测 (DE)	200+	威胁狩猎、SIEM 关联分析、异常检测
响应 (RS)	160+	事件响应、取证、入侵遏制
恢复 (RC)	40+	勒索软件恢复、BCP、灾难恢复

NIST CSF 2.0（2024 年 2 月）新增了 治理 功能，并将适用范围从关键基础设施扩展至所有组织。技能映射与全部 22 个类别对齐，并引用了 106 个子类别。

📊 框架深度解析 — ATLAS、D3FEND、AI RMF

 

MITRE ATLAS v5.4 — AI/ML 对抗性威胁

ATLAS 梳理了针对人工智能和机器学习系统的对抗性战术、技术和案例研究。版本 5.4 涵盖 16 个战术和 84 个技术，其中包括 2025 年底新增的智能体式 AI 攻击向量：AI 代理上下文污染、工具调用滥用、MCP 服务器入侵以及恶意代理部署。映射到 ATLAS 的技能可帮助代理识别并防御针对 ML 流水线、模型权重、推理 API 和自主工作流的威胁。

MITRE D3FEND v1.3 — 防御对策

D3FEND 是一项由 NSA 资助的知识图谱，包含 267 种防御技术，按 7 个战术类别组织：模型、加固、检测、隔离、欺骗、驱逐和恢复。它基于 OWL 2 本体构建，利用共享的数字工件层，将防御性对策与 ATT&CK 攻击技术进行双向映射。标记了 D3FEND 标识符的技能可以让代理针对检测到的威胁推荐具体的防御措施。

NIST AI RMF 1.0 + GenAI 概况（AI 600-1）

AI 风险管理框架定义了 4 个核心功能——治理、映射、测量、管理——并设有 72 个子类别，用于构建可信的 AI 系统。GenAI 概况（AI 600-1，2024 年 7 月）新增了 12 个与生成式 AI 相关的风险类别，涵盖幻觉、数据隐私、提示注入以及供应链风险等。科罗拉多州的 AI 法案（自 2026 年 2 月生效）为遵守 NIST AI RMF 的组织提供了 法律安全港，使得这些映射直接关系到合规要求。

兼容平台

AI 代码助手 Claude Code（Anthropic）· GitHub Copilot（Microsoft）· Cursor · Windsurf · Cline · Aider · Continue · Roo Code · Amazon Q Developer · Tabnine · Sourcegraph Cody · JetBrains AI

CLI 代理 OpenAI Codex CLI · Gemini CLI（Google）

自主代理 Devin · Replit Agent · SWE-agent · OpenHands

代理框架与 SDKs LangChain · CrewAI · AutoGen · Semantic Kernel · Haystack · Vercel AI SDK · 任何兼容 MCP 的代理

所有支持 agentskills.io 标准的平台均可无需任何配置即可加载这些技能。

人们怎么说

"一个真实、结构化的安全技能数据库，任何 AI 代理都可以接入并使用。不是教程，也不是博客文章。" — Hasan Toor (@hasantoxr)，AI/科技创作者

"这并非随机的安全脚本集合，而是一个专为 AI 驱动的安全工作流设计的结构化操作知识库。" — fazal-sec，Medium

被收录于

地点	类型	链接
awesome-agent-skills	Awesome 列表（1,000+ 技能索引）	VoltAgent/awesome-agent-skills
awesome-ai-security	Awesome 列表（AI 安全工具）	ottosulin/awesome-ai-security
awesome-codex-cli	Awesome 列表（Codex CLI 资源）	RoggeOhta/awesome-codex-cli
SkillsLLM	技能目录与市场	skillsllm.com/skill/anthropic-cybersecurity-skills
Openflows	信号分析与追踪	openflows.org
NeverSight skills_feed	自动化技能索引	NeverSight/skills_feed

星标历史

发布版本

版本	日期	亮点
v1.0.0	2026年3月11日	734项技能 · 26个领域 · MITRE ATT&CK + NIST CSF 2.0 对应关系 · ATT&CK Navigator 层

自 v1.0.0 以来，main 分支上的技能持续增长——该库现已包含 754项技能，并实现了 五框架映射（发布后新增了 MITRE ATLAS、D3FEND 和 NIST AI RMF）。请查看 发布页面 获取最新标记版本。

贡献方式

本项目依靠社区贡献不断壮大。以下是参与方式：

添加新技能 — 像欺骗技术（2项技能）和合规与治理（5项技能）这样的领域最需要帮助。请遵循 CONTRIBUTING.md 中的模板，并提交标题为 Add skill: your-skill-name 的拉取请求。

改进现有技能 — 添加框架映射、修复工作流、更新工具引用，或贡献脚本和模板。

报告问题 — 发现不准确的流程或损坏的脚本？请 提交问题。

所有拉取请求都将在48小时内接受技术准确性和 agentskills.io 标准合规性的审查。可从 good first issues 中选择一个作为起点。

本项目遵循 Contributor Covenant 协议。参与即表示您同意遵守此行为准则。

社区

💬 讨论区 — 问题、想法及路线图交流 🐛 问题列表 — 错误报告和功能请求 🔒 安全政策 — 负责任的漏洞披露流程（48小时确认回复）

引用

如果您在研究或出版物中使用本项目：

@software{anthropic_cybersecurity_skills,
  author       = {Jangra, Mahipal},
  title        = {Anthropic Cybersecurity Skills},
  year         = {2026},
  url          = {https://github.com/mukul975/Anthropic-Cybersecurity-Skills},
  license      = {Apache-2.0},
  note         = {754项结构化的网络安全技能，对应于 MITRE ATT\&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND 和 NIST AI RMF}
}

许可证

本项目采用 Apache License 2.0 许可证。您可以在个人和商业项目中自由使用、修改和分发这些技能。

---

Anthropic-Cybersecurity-Skills 快速上手指南

Anthropic-Cybersecurity-Skills 是一个面向 AI 智能体的开源网络安全技能库，包含 754 项生产级安全技能，覆盖 26 个安全领域。它遵循 agentskills.io 标准，并将每项技能映射到 MITRE ATT&CK、NIST CSF 2.0 等五大行业框架，帮助 AI 智能体具备资深安全分析师的决策能力。

环境准备

• 系统要求：支持 Linux、macOS 或 Windows（需安装 Git 和 Node.js）。
• 前置依赖：
  • Node.js (推荐方式需要 npx)
  • Git (克隆方式需要)
  • 兼容的 AI 平台/工具：Claude Code, GitHub Copilot, OpenAI Codex CLI, Cursor, Gemini CLI 或任何支持 agentskills.io 标准的平台。
• 网络提示：由于项目托管在 GitHub，国内用户若遇到连接超时，建议配置代理或使用国内 Git 镜像加速。

安装步骤

你可以选择以下任一方式获取技能库：

方式一：使用 npx（推荐）

这是最快捷的方式，无需手动管理文件，直接通过命令行集成。

npx skills add mukul975/Anthropic-Cybersecurity-Skills

方式二：使用 Git 克隆

适合需要本地浏览源码或离线使用的场景。

git clone https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git
cd Anthropic-Cybersecurity-Skills

基本使用

安装完成后，该技能库可立即被兼容的 AI 智能体调用。智能体会自动扫描技能的 YAML 元数据（仅需约 30 tokens），根据任务需求加载完整的执行工作流（500-2000 tokens）。

使用示例

场景：让 AI 分析内存转储文件以查找凭据窃取迹象。

用户输入提示词：

"Analyze this memory dump for signs of credential theft" （分析此内存转储文件以查找凭据窃取的迹象）

AI 智能体内部执行流程：

1. 扫描：快速遍历 754 项技能的元数据，通过标签和描述匹配到相关技能（如 performing-memory-forensics-with-volatility3）。
2. 加载：载入排名前三的技能完整工作流。
3. 执行：按照技能定义的 Workflow 部分逐步操作（例如运行 Volatility3 插件、检查 LSASS 访问模式）。
4. 验证：依据 Verification 部分确认结果，并将发现映射到 MITRE ATT&CK T1003 (Credential Dumping)。

在线体验

无需本地安装，可直接在 Casky.ai Playground 中体验实时网络安全技能演练： → 启动 Casky.ai playground

技能结构说明

每个技能均包含标准化的目录结构，确保 AI 能准确理解上下文：

• SKILL.md: 包含 YAML 元数据和 Markdown 格式的执行步骤。
• references/: 包含框架映射和技术参考。
• scripts/: 包含辅助脚本。
• assets/: 包含检查清单和报告模板。