---

⚠️ 社区项目 — 这是一个独立的社区驱动项目，与 Anthropic PBC 无关联。

声明 — 本仓库是对 mukul975/Anthropic-Cybersecurity-Skills 的中文翻译，旨在降低中文用户的阅读门槛，仅供学习交流之用。原项目由 @mukul975 发起，技术内容版权归其所有。

赋予任何 AI 智能体资深安全分析师的技能

一名初级安全分析师知道对可疑的内存转储运行哪个 Volatility3 插件，知道哪些 Sigma 规则能捕获 Kerberoasting 攻击，以及如何在三个云提供商之间界定云入侵的范围。你的 AI 智能体并不知道——除非你赋予它这些技能。

本仓库包含 754 个结构化的网络安全技能，覆盖 26 个安全领域，每个技能均遵循 agentskills.io 开放标准。每项技能均已映射到 五大行业框架——MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND 和 NIST AI RMF——使其成为唯一具有统一跨框架覆盖率的开源技能库。克隆它，将你的智能体指向它，你的下一次安全调查即可在数秒内获得专家级指导。

五大框架，一个技能库

没有其他开源技能库将每项技能同时映射到全部五大框架。一项技能，五个合规勾选框。

Framework	Version	Scope in this repo	What it maps
MITRE ATT&CK	v18	14 个战术 · 200+ 技术	攻击者行为与 TTP
NIST CSF 2.0	2.0	6 大功能 · 22 个类别	组织安全态势
MITRE ATLAS	v5.4	16 个战术 · 84 个技术	AI/ML 对抗性威胁
MITRE D3FEND	v1.3	7 个类别 · 267 个技术	防御对策
NIST AI RMF	1.0	4 大功能 · 72 个子类别	AI 风险管理

示例——一项单一技能映射到全部五大框架：

Skill	ATT&CK	NIST CSF	ATLAS	D3FEND	AI RMF
analyzing-network-traffic-of-malware	T1071	DE.CM	AML.T0047	D3-NTA	MEASURE-2.6

Quick start

# Option 1: npx (recommended)
npx skills add mukul975/Anthropic-Cybersecurity-Skills

# Option 2: Git clone
git clone https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git
cd Anthropic-Cybersecurity-Skills

可与 Claude Code、GitHub Copilot、OpenAI Codex CLI、Cursor、Gemini CLI 以及任何 agentskills.io 兼容平台即插即用。

🌍 GARS-2026 — 全球智能体 AI 就绪度调查

我正在进行一项全球学术研究，衡量安全专业人员、开发者和企业团队对智能体 AI（MCP 服务器、工具调用、治理和人在环路工作流）的真实就绪程度。

如果你使用了本仓库，你的回答将是一个非常有价值的数据点。

📋 参与调查（10 分钟）： Survey Link

• 60 道题 · 匿名 · 由 SRH Berlin 监督
• 完成后可获得 50 个 Casky Token，用于提前体验 casky.ai
• 研究成果将以 CC-BY 4.0 开放获取协议公开发布

🚀 在 Playground 上试用

无需任何设置即可亲身体验 Casky.ai。

→ 启动 Casky.ai Playground

Playground 允许你：

• 针对真实目标运行实战型网络安全技能练习
• 实时观察 AI 智能体执行结构化技能
• 交互式探索映射到 MITRE ATT&CK 的工作流
• 测试威胁狩猎、DFIR 和渗透测试场景

无需安装，无需配置。打开即用。

为什么需要这个项目

2024 年全球网络安全人才缺口已达 480 万个未填补岗位（ISC2）。AI 智能体可以帮助弥合这一差距——但前提是它们必须拥有结构化的领域知识。如今的智能体可以编写代码和搜索网页，但它们缺乏将通用 LLM 转化为合格安全分析师所需的实战手册。

现有的安全工具仓库提供的是字典表、攻击载荷或利用代码。它们不会告诉 AI 智能体资深分析师所遵循的结构化决策流程：何时使用每种技术、需要检查哪些前置条件、如何逐步执行以及如何验证结果。这正是本项目所要填补的空白。

Anthropic Cybersecurity Skills 不是脚本或检查清单的集合。它是一个原生为 AI 构建的知识库，专为 agentskills.io 标准从头打造——使用 YAML Frontmatter 实现亚秒级发现、使用结构化 Markdown 进行逐步执行、使用参考文件提供深度技术上下文。每项技能都编码了真实从业者的工作流，而非生成的摘要。

What's inside — 26 security domains

完整的分类索引见 SKILLS_BY_CATEGORY.md，按 26 个安全领域逐一列出全部 754 项技能的名称与描述。

Domain	Skills	Key capabilities
Cloud Security	60	AWS、Azure、GCP 安全加固 · CSPM · 云取证
Threat Hunting	55	假设驱动狩猎 · LOTL 检测 · 行为分析
Threat Intelligence	50	STIX/TAXII · MISP · 情报源集成 · 攻击者画像
Web Application Security	42	OWASP Top 10 · SQLi · XSS · SSRF · 反序列化
Network Security	40	IDS/IPS · 防火墙规则 · VLAN 分段 · 流量分析
Malware Analysis	39	静态/动态分析 · 逆向工程 · 沙箱分析
Digital Forensics	37	磁盘镜像 · 内存取证 · 时间线重建
Security Operations	36	SIEM 关联分析 · 日志分析 · 告警分类
Identity & Access Management	35	IAM 策略 · PAM · 零信任身份 · Okta · SailPoint
SOC Operations	33	剧本 · 升级工作流 · 指标 · 桌面推演
Container Security	30	K8s RBAC · 镜像扫描 · Falco · 容器取证
OT/ICS Security	28	Modbus · DNP3 · IEC 62443 · 历史数据站防御 · SCADA
API Security	28	GraphQL · REST · OWASP API Top 10 · WAF 绕过
Vulnerability Management	25	Nessus · 扫描工作流 · 补丁优先级排序 · CVSS
Incident Response	25	入侵遏制 · 勒索软件响应 · IR 剧本
Red Teaming	24	全面评估 · AD 攻击 · 钓鱼模拟
Penetration Testing	23	网络 · Web · 云 · 移动端 · 无线渗透测试
Endpoint Security	17	EDR · LOTL 检测 · 无文件恶意软件 · 持久化狩猎
DevSecOps	17	CI/CD 安全 · 代码签名 · Terraform 审计
Phishing Defense	16	邮件认证 · BEC 检测 · 钓鱼应急响应
Cryptography	14	TLS · Ed25519 · 证书透明性 · 密钥管理
Zero Trust Architecture	13	BeyondCorp · CISA 成熟度模型 · 微隔离
Mobile Security	12	Android/iOS 分析 · 移动渗透测试 · MDM 取证
Ransomware Defense	7	前兆检测 · 响应 · 恢复 · 加密分析
Compliance & Governance	5	CIS 基准 · SOC 2 · 监管框架
Deception Technology	2	蜜标 · 入侵检测金丝雀

AI 智能体如何使用这些技能

每项技能仅需 ~30 令牌即可扫描（仅 Frontmatter），500–2,000 令牌即可完全加载（完整工作流）。这种渐进式披露架构让智能体能够在单次遍历中搜索全部 754 项技能，而不会撑爆上下文窗口。

User prompt: "Analyze this memory dump for signs of credential theft"

Agent's internal process:

  1. Scans 754 skill frontmatters (~30 tokens each)
     → identifies 12 relevant skills by matching tags, description, domain

  2. Loads top 3 matches:
     • performing-memory-forensics-with-volatility3
     • hunting-for-credential-dumping-lsass
     • analyzing-windows-event-logs-for-credential-access

  3. Executes the structured Workflow section step-by-step
     → runs Volatility3 plugins, checks LSASS access patterns,
        correlates with event log evidence

  4. Validates results using the Verification section
     → confirms IOCs, maps findings to ATT&CK T1003 (Credential Dumping)

没有这些技能，智能体只能盲目猜测工具命令并遗漏关键步骤。有了这些技能，它将遵循与资深 DFIR 分析师相同的 playbook。

技能结构

每项技能均遵循一致的目录结构：

skills/performing-memory-forensics-with-volatility3/
├── SKILL.md              ← 技能定义（YAML Frontmatter + Markdown 正文）
├── references/
│   ├── standards.md      ← MITRE ATT&CK、ATLAS、D3FEND、NIST 映射
│   └── workflows.md      ← 深度技术过程参考
├── scripts/
│   └── process.py        ← 可用的辅助脚本
└── assets/
    └── template.md       ← 填写好的检查清单和报告模板

YAML Frontmatter（真实示例）

---
name: performing-memory-forensics-with-volatility3
description: >-
  Analyze memory dumps to extract running processes, network connections,
  injected code, and malware artifacts using the Volatility3 framework.
domain: cybersecurity
subdomain: digital-forensics
tags: [forensics, memory-analysis, volatility3, incident-response, dfir]
atlas_techniques: [AML.T0047]
d3fend_techniques: [D3-MA, D3-PSMD]
nist_ai_rmf: [MEASURE-2.6]
nist_csf: [DE.CM-01, RS.AN-03]
version: "1.2"
author: mukul975
license: Apache-2.0
---

Markdown 正文章节

## When to Use
触发条件——AI 智能体何时应该激活此技能？

## Prerequisites
所需工具、访问级别和环境设置。

## Workflow
带有具体命令和决策点的逐步执行指南。

## Verification
如何确认技能已成功执行。

Frontmatter 字段：name（kebab-case，1–64 字符）、description（关键词丰富，便于智能体发现）、domain、subdomain、tags、atlas_techniques（MITRE ATLAS ID）、d3fend_techniques（MITRE D3FEND ID）、nist_ai_rmf（NIST AI RMF 引用）、nist_csf（NIST CSF 2.0 类别）。MITRE ATT&CK 技术映射记录在每项技能的 references/standards.md 文件中以及发布版本附带的 ATT&CK Navigator 层文件中。

📊 MITRE ATT&CK Enterprise 覆盖范围——全部 14 个战术

 

Tactic	ID	Coverage	Key skills
Reconnaissance	TA0043	强	OSINT、子域名枚举、DNS 侦察
Resource Development	TA0042	中	钓鱼基础设施、C2 搭建检测
Initial Access	TA0001	强	钓鱼模拟、漏洞利用检测、强制浏览
Execution	TA0002	强	PowerShell 分析、无文件恶意软件、脚本块日志
Persistence	TA0003	强	计划任务、注册表、服务账户、LOTL
Privilege Escalation	TA0004	强	Kerberoasting、AD 攻击、云特权提升
Defense Evasion	TA0005	强	混淆、Rootkit 分析、规避检测
Credential Access	TA0006	强	Mimikatz 检测、哈希传递、凭证转储
Discovery	TA0007	中	BloodHound、AD 枚举、网络扫描
Lateral Movement	TA0008	强	SMB 漏洞利用、使用 Splunk 检测横向移动
Collection	TA0009	中	邮件取证、数据暂存检测
Command and Control	TA0011	强	C2 信标检测、DNS 隧道、Cobalt Strike 分析
Exfiltration	TA0010	强	DNS 数据外传、DLP 控制、数据丢失检测
Impact	TA0040	强	勒索软件防御、加密分析、恢复

ATT&CK Navigator 层文件 已包含在 v1.0.0 发布资源中，可用于可视化覆盖范围映射。

注意： ATT&CK v19 将于 2026 年 4 月 28 日发布——将 Defense Evasion (TA0005) 拆分为两个新战术：Stealth（隐蔽）和 Impair Defenses（削弱防御）。技能映射将在未来版本中更新。

📊 NIST CSF 2.0 对齐——全部 6 大功能

 

Function	Skills	Examples
Govern (GV)	30+	风险战略、策略框架、角色与职责
Identify (ID)	120+	资产发现、威胁态势评估、风险分析
Protect (PR)	150+	IAM 加固、WAF 规则、零信任、加密
Detect (DE)	200+	威胁狩猎、SIEM 关联分析、异常检测
Respond (RS)	160+	事件响应、取证、入侵遏制
Recover (RC)	40+	勒索软件恢复、BCP、灾难恢复

NIST CSF 2.0（2024 年 2 月）新增了 Govern 功能，并将适用范围从关键基础设施扩展到所有组织。技能映射已对齐全部 22 个类别，并引用了 106 个子类别。

📊 框架深度分析——ATLAS、D3FEND、AI RMF

 

MITRE ATLAS v5.4 — AI/ML 对抗性威胁

ATLAS 映射了针对 AI 和机器学习系统的对抗性战术、技术和案例研究。5.4 版本覆盖 16 个战术和 84 个技术，包括 2025 年末新增的智能体 AI 攻击向量：AI 智能体上下文投毒、工具调用滥用、MCP 服务器入侵和恶意智能体部署。映射到 ATLAS 的技能可帮助智能体识别并防御针对 ML 管道、模型权重、推理 API 和自主工作流的威胁。

MITRE D3FEND v1.3 — 防御对策

D3FEND 是一个由 NSA 资助的知识图谱，包含 267 种防御技术，分为 7 个战术类别：Model（建模）、Harden（加固）、Detect（检测）、Isolate（隔离）、Deceive（欺骗）、Evict（驱逐）和 Restore（恢复）。基于 OWL 2 本体构建，它使用共享数字工件层将防御对策与 ATT&CK 攻击技术进行双向映射。标记有 D3FEND 标识符的技能可让智能体针对检测到的威胁推荐具体对策。

NIST AI RMF 1.0 + GenAI Profile (AI 600-1)

AI 风险管理框架定义了 4 大核心功能——Govern、Map、Measure、Manage——包含 72 个子类别，用于可信 AI 开发。GenAI Profile（AI 600-1，2024 年 7 月）针对生成式 AI 新增了 12 个风险类别，涵盖从幻觉和数据隐私到提示词注入和供应链风险。科罗拉多州 AI 法案（2026 年 2 月生效）为遵守 NIST AI RMF 的组织提供了法律安全港，使这些映射与监管合规直接相关。

Compatible platforms

AI 代码助手 Claude Code (Anthropic) · GitHub Copilot (Microsoft) · Cursor · Windsurf · Cline · Aider · Continue · Roo Code · Amazon Q Developer · Tabnine · Sourcegraph Cody · JetBrains AI

CLI 智能体 OpenAI Codex CLI · Gemini CLI (Google)

自主智能体 Devin · Replit Agent · SWE-agent · OpenHands

智能体框架与 SDK LangChain · CrewAI · AutoGen · Semantic Kernel · Haystack · Vercel AI SDK · 任何兼容 MCP 的智能体

所有支持 agentskills.io 标准的平台均可零配置加载这些技能。

用户评价

"一个真实的、有组织的安全技能数据库，任何 AI 智能体都可以接入并使用。不是教程，不是博客。" — Hasan Toor (@hasantoxr)，AI/科技创作者

"这不是一堆随机安全脚本的集合。它是一个结构化的运营知识库，专为 AI 驱动的安全工作流设计。" — fazal-sec，Medium

收录于

Where	Type	Link
awesome-agent-skills	Awesome 列表（1,000+ 技能索引）	VoltAgent/awesome-agent-skills
awesome-ai-security	Awesome 列表（AI 安全工具）	ottosulin/awesome-ai-security
awesome-codex-cli	Awesome 列表（Codex CLI 资源）	RoggeOhta/awesome-codex-cli
SkillsLLM	技能目录与市场	skillsllm.com/skill/anthropic-cybersecurity-skills
Openflows	信号分析与追踪	openflows.org
NeverSight skills_feed	自动化技能索引	NeverSight/skills_feed

Star history

Releases

Version	Date	Highlights
v1.0.0	2026 年 3 月 11 日	734 项技能 · 26 个领域 · MITRE ATT&CK + NIST CSF 2.0 映射 · ATT&CK Navigator 层

自 v1.0.0 以来，技能数量在 main 分支上持续增长——本库现已包含 754 项技能，均已完成 五大框架映射（MITRE ATLAS、D3FEND 和 NIST AI RMF 为发布后新增）。请查看 Releases 获取最新标记版本。

Contributing

本项目通过社区贡献不断壮大。以下是参与方式：

添加新技能 — Deception Technology（2 项技能）和 Compliance & Governance（5 项技能）等领域最需要帮助。请遵循 CONTRIBUTING.md 中的模板提交 PR，标题格式为 Add skill: your-skill-name。

改进现有技能 — 添加框架映射、修复工作流、更新工具参考，或贡献脚本和模板。

报告问题 — 发现不准确的技术流程或有问题的脚本？提交 Issue。

每个 PR 都会在 48 小时内进行技术准确性和 agentskills.io 标准合规性审查。查看 good first issues 开始上手。

本项目遵循 Contributor Covenant。参与即表示你同意遵守该行为准则。

Community

💬 Discussions — 问题、想法和路线图讨论 🐛 Issues — Bug 报告和功能请求 🔒 Security Policy — 负责任披露流程（48 小时确认）

Citation

如果你在研究或出版物中使用了本项目：

@software{anthropic_cybersecurity_skills,
  author       = {Jangra, Mahipal},
  title        = {Anthropic Cybersecurity Skills},
  year         = {2026},
  url          = {https://github.com/mukul975/Anthropic-Cybersecurity-Skills},
  license      = {Apache-2.0},
  note         = {754 structured cybersecurity skills for AI agents,
                  mapped to MITRE ATT\&CK, NIST CSF 2.0, MITRE ATLAS,
                  MITRE D3FEND, and NIST AI RMF}
}

License

本项目采用 Apache License 2.0 许可。你可以在个人和商业项目中自由使用、修改和分发这些技能。

---