SecKnowledge — скилл
Скилл SecKnowledge подгружает агенту базу по веб-уязвимостям и угрозам ИИ-приложений для тестирования защищенности цели.
- 446 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- Содержит рабочие нагрузки и приемы обхода защиты: двойное назначение, применять только к своим системам или с разрешением.
- Агент может предложить действия против реальной цели, поэтому каждый шаг подтверждает человек.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/secknowledgeОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Содержит рабочие нагрузки и приемы обхода защиты: двойное назначение, применять только к своим системам или с разрешением.
- Агент может предложить действия против реальной цели, поэтому каждый шаг подтверждает человек.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
SecKnowledge — скилл с базой знаний по тестированию защищенности веба и ИИ-приложений. Он собирает кейсы WooYun, методику Xianzhi L1-L4, матрицу GAARM из 173 угроз для ИИ и рамки OWASP для LLM, агентов и WSTG. Входной файл `SKILL.md` маршрутизирует запрос, а каталог `references/` подгружает нужные справочники: SQL-инъекции, XSS, RCE, загрузка файлов, SSRF, CORS, GraphQL, OAuth, а также инъекции в промпты, MCP и эскейп из песочниц. Агент перечисляет поверхность атаки цели, составляет тест-кейсы и подсказывает обходы WAF. Скилл включается, когда пользователь назвал цель и хочет ее протестировать или проверить.
Для кого. Специалистам по тестированию на проникновение и разработчикам, которые проверяют свои веб-системы и ИИ-приложения и ищут справочник под рукой агента.
Подходит, если
- Планируют тестирование собственного приложения и перечисляют поверхность атаки.
- WAF режет полезную нагрузку, и нужны подходы к обходу для разрешенного теста.
- Проверяют ИИ-приложение на инъекции в промпты, отравление RAG и злоупотребление MCP.
- Готовят отчет с привязкой находок к OWASP LLM и WSTG.
Не подходит, если
- Нет письменного разрешения владельца цели.
- Нужен только разговор о том, что такое XSS или SQL-инъекция.
- Нужен полный белый аудит исходников проекта.
Пример запроса к агенту
Составь план проверки моего приложения на SQL-инъекции и SSRF, перечисли тест-кейсы и отметь, где нужен обход WAF. Тестирую свою систему, разрешение есть.Ограничения
Скилл только справочный: сам он ничего не сканирует и не запускает. Содержит нагрузки и приемы обхода защиты, их допустимо применять только к своим системам или с явным разрешением. Документация и описание триггеров на китайском, а в репозитории нет файла лицензии, хотя значок указывает MIT. Последний коммит сделан в июне 2026 года. Данные GAARM заявлены на снимок июня 2026 года. Справочники обширны, поэтому агент подгружает их по маршруту из `SKILL.md`, а не целиком.
Как отключить. Удалите папку `~/.claude/skills/secknowledge` или `~/.cursor/skills/secknowledge`, куда клонировали репозиторий.
Частые вопросы
Что входит в базу знаний?
Справочники в `references/`: веб-уязвимости по типам, логика авторизации, современные протоколы, угрозы для ИИ по пяти доменам и методика тестирования.
Когда скилл включается?
Когда задан реальный объект проверки: адрес, код, модель или архитектура агента, и цель тестирования или аудита. Вопросы вроде «что такое XSS» он не обрабатывает.
Покрывает ли он ИИ-приложения?
Да, охвачены инъекции в промпты, джейлбрейки, отравление RAG и памяти, атаки на MCP и скиллы, побег из песочницы.
Можно ли использовать на чужих сайтах?
Нет. Материал предназначен для тестирования своих систем или с письменным разрешением владельца.
На каком языке материалы?
Описание триггеров в `SKILL.md` и основная документация на китайском, есть английский README. Справочники в `references/` читайте в оригинале.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
СкиллыБаза скиллов по практической безопасности для агентов: web, API, привилегии, Active Directory, mobile, бинарники и криптоанализ
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
VibeSec
VibeSec-Skill
Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений
Сканер безопасности для скиллов и MCP агентов: ищет промпт-инъекции, утечки данных и риски цепочки поставок до установки
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Скилл для проверки кода на уязвимости по OWASP Top 10:2025, ASVS 5.0 и спискам уязвимостей для LLM и ИИ-агентов 2026 года
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| SecKnowledge (эта карточка) | нет | 446 | |
| WooYun Legacy | нет | 1 783 | плагин по бизнес-логическим уязвимостям на архиве WooYun; SecKnowledge шире: веб-уязвимости всех типов плюс матрица угроз ИИ-приложений и OWASP |
| Anthropic Cybersecurity Skills | нет | 35 628 | библиотека множества скиллов по защите и форензике; SecKnowledge один скилл с маршрутизацией по справочникам для тестирования веба и ИИ |
Коротко о README
Скилл превращает общие знания модели в маршрутизируемый справочник. `SKILL.md` содержит быстрые карточки и дерево решений, а подробности лежат в 48 файлах `references/`.