全面审计代码库、基础设施及智能体系统的安全漏洞，覆盖传统OWASP Top 10与智能体特有威胁（提示注入、身份伪造、记忆投毒、多智能体通信）。
说明：
## 核心功能
本技能是一套覆盖传统安全与智能体安全的一站式审计工具，分为两大模块：
### 传统安全审计
– **依赖漏洞扫描**：支持 npm audit、pip-audit、govulncheck、cargo-audit 及通用工具 Trivy
– **密钥检测**：手动grep模式（AWS密钥、API密钥、私钥、JWT等）+ 预提交钩子自动拦截
– **OWASP Top 10代码检测**：注入攻击（SQL/命令）、认证缺陷、XSS、不安全直接对象引用、配置错误等
– **SSL/TLS验证**：证书链完整性、TLS版本支持、弱密码套件检测
– **文件权限审计**：世界可写文件、SUID/SGID位、SSH密钥权限、敏感文件追踪
### 智能体安全审计（Agentic Security）
基于 “Agents of Chaos” 研究与 OWASP Agentic Top 10 2026：
– **ASI01 提示注入**：直接/间接注入向量、零宽Unicode隐写、可疑Base64载荷
– **ASI02 工具滥用**：sudo/无限制shell访问检测
– **ASI03 身份与权限**：authorizedSenders配置、反欺骗规则、跨渠道信任假设
– **ASI04 记忆投毒**：外部URL作为”治理文档”、覆盖指令、文件修改历史追踪
– **ASI05 供应链**：技能/插件的shell执行能力审计
– **ASI06 越界行为**：非所有者拒绝规则、反gaslighting/升级限制
– **ASI07 数据泄露**：智能体文件中的密钥、PII（SSN/信用卡）模式
– **ASI10 多智能体通信**：Discord/Forum/Clawstr等渠道、webhook自动响应、无限循环风险
## 显著优点
– 覆盖面极广：从Node.js/Python/Go/Rust到智能体特有的AGENTS.md/SOUL.md/MEMORY.md
– 即拿即用：提供完整可运行的bash脚本，无需额外依赖
– 双重标准：传统安全+前沿智能体威胁模型
– 可追溯性：git blame集成、文件修改历史对比
## 潜在局限
– 依赖外部工具（pip-audit、Trivy等）需单独安装
– grep模式可能产生误报，需人工复核
– 智能体安全部分基于新兴研究，检测规则随威胁演化需更新
– 无自动修复能力，仅提供检测与建议
## 适合人群
– 开发团队在CI/CD中集成安全门禁
– 智能体开发者部署前自检
– 安全研究员进行红队测试
– 合规审计准备
## 常规风险
– 扫描生产代码库可能触发安全告警
– git history扫描可能暴露已轮转但仍敏感的密钥
– 智能体记忆文件可能包含用户隐私数据，审计时需合规处理
