754 structured cybersecurity skills for AI agents · Mapped to 5 frameworks: MITRE ATT&CK, NIST CSF 2.0, MITRE ATLAS, D3FEND & NIST AI RMF · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI & 20+ platforms · 26 security domains · Apache 2.0
⚠️ 社区项目 — 这是一个独立的社区创建项目，与Anthropic PBC无关联。
赋予任何AI代理高级分析师的安全技能
初级分析师知道针对可疑内存转储应运行哪个Volatility3插件、哪些Sigma规则可检测Kerberoasting攻击，以及如何跨三家云服务提供商界定云泄露范围。您的AI代理尚不具备这些能力——除非您为其赋予这些技能。
本仓库包含754项结构化网络安全技能，覆盖26个安全领域，每项技能均遵循agentskills.io开放标准。所有技能均与五大行业框架——MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND和NIST AI RMF——进行了映射，使其成为唯一一个具备跨框架统一覆盖能力的开源技能库。克隆本仓库，将您的AI代理指向它，您的下一次安全调查将在数秒内获得专家级指导。
五大框架，一个技能库
没有其他开源技能库能将每项技能同时映射至所有五大框架。一项技能，满足五项合规要求。
| 框架 | 版本 | 本仓库覆盖范围 | 映射内容 |
|---|---|---|---|
| MITRE ATT&CK | v18 | 14项战术 · 200+项技术 | adversary行为与战术、技术和程序（TTPs） |
| NIST CSF 2.0 | 2.0 | 6项功能 · 22个类别 | 组织安全态势 |
| MITRE ATLAS | v5.4 | 16项战术 · 84项技术 | 人工智能/机器学习对抗性威胁 |
| MITRE D3FEND | v1.3 | 7个类别 · 267项技术 | 防御性对策 |
| NIST AI RMF | 1.0 | 4项功能 · 72个子类别 | 人工智能风险管理 |
示例——单一技能跨五大框架映射：
| 技能 | ATT&CK | NIST CSF | ATLAS | D3FEND | AI RMF |
|---|---|---|---|---|---|
analyzing-network-traffic-of-malware |
T1071 | DE.CM | AML.T0047 | D3-NTA | MEASURE-2.6 |
快速入门
# Option 1: npx (recommended)
npx skills add mukul975/Anthropic-Cybersecurity-Skills
# Option 2: Git clone
git clone https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git
cd Anthropic-Cybersecurity-Skills
可立即与 Claude Code、GitHub Copilot、OpenAI Codex CLI、Cursor、Gemini CLI 以及任何 agentskills.io 兼容平台配合使用。
🌍 GARS-2026 — 全球智能体 AI 就绪度调查
我正在开展一项全球学术研究，旨在衡量安全专业人员、开发人员和企业团队对智能体 AI（包括 MCP 服务器、工具调用、治理和人在环工作流）的实际就绪程度。
如果您使用此仓库，您的反馈将是一个真正有价值的数据点。
📋 参与调查（10 分钟）： mahipal.engineer/survey?utm_source=github_repo&utm_medium=readme&utm_campaign=gars2026
- 60 个问题 · 匿名参与 · 由柏林 SRH 大学监督
- 您将获得 50 个 Casky 代币，用于提前访问 casky.ai
- 结果将以 CC-BY 4.0 许可协议公开发布
🚀 在 playground 中试用
亲身体验 Casky.ai — 无需设置。
Playground 允许您：
- 针对真实目标运行实时网络安全技能练习
- 实时查看 AI 智能体执行结构化技能
- 交互式探索映射 MITRE ATT&CK 的工作流
- 测试威胁狩猎、数字取证与事件响应 (DFIR) 以及渗透测试场景
无需安装。无需配置。打开即可开始使用。
项目背景
2024 年，全球网络安全人才缺口达到 480 万个未填补职位（ISC2 数据）。AI 智能体有助于填补这一缺口，但前提是它们具备可用于工作的结构化领域知识。如今的智能体可以编写代码和搜索网络，但它们缺乏将通用大型语言模型 (LLM) 转变为合格安全分析师所需的从业者操作手册。
现有的安全工具仓库为您提供词表、有效载荷或漏洞利用代码。但没有一个仓库能为 AI 智能体提供高级分析师所遵循的结构化决策工作流：何时使用每种技术、需要检查哪些先决条件、如何逐步执行以及如何验证结果。这正是本项目旨在填补的空白。
Anthropic Cybersecurity Skills 不是脚本或清单的集合。它是一个原生 AI 知识库，完全基于 agentskills.io 标准构建 — 包含用于亚秒级发现的 YAML 头信息、用于逐步执行的结构化 Markdown，以及用于深度技术背景的参考文件。每项技能都编码了真实的从业者工作流，而非生成的摘要。
内含内容 — 26 个安全领域
| 领域 | 技能数量 | 核心能力 |
|---|---|---|
| 云安全 | 60 | AWS、Azure、GCP 强化 · CSPM · 云取证 |
| 威胁狩猎 | 55 | 假设驱动型狩猎 · LOTL 检测 · 行为分析 |
| 威胁情报 | 50 | STIX/TAXII · MISP · 情报源集成 · 攻击者画像 |
| Web 应用安全 | 42 | OWASP Top 10 · SQL 注入 · 跨站脚本（XSS）· 服务器端请求伪造（SSRF）· 反序列化 |
| 网络安全 | 40 | 入侵检测/防御系统（IDS/IPS）· 防火墙规则 · VLAN 分段 · 流量分析 |
| 恶意软件分析 | 39 | 静态/动态分析 · 逆向工程 · 沙箱技术 |
| 数字取证 | 37 | 磁盘镜像 · 内存取证 · 时间线重建 |
| 安全运营 | 36 | SIEM 关联分析 · 日志分析 · 告警分诊 |
| 身份与访问管理 | 35 | IAM 策略 · 特权访问管理（PAM）· 零信任身份 · Okta · SailPoint |
| SOC 运营 | 33 | 操作手册 · 升级工作流 · 指标 · 桌面推演 |
| 容器安全 | 30 | Kubernetes RBAC · 镜像扫描 · Falco · 容器取证 |
| 工业控制系统（OT/ICS）安全 | 28 | Modbus · DNP3 · IEC 62443 · 历史数据库防护 · SCADA |
| API 安全 | 28 | GraphQL · REST · OWASP API Top 10 · Web 应用防火墙（WAF）绕过 |
| 漏洞管理 | 25 | Nessus · 扫描工作流 · 补丁优先级排序 · CVSS |
| 事件响应 | 25 | breach containment · 勒索软件响应 · 事件响应（IR）手册 |
| 红队演练 | 24 | 全范围参与 · 活动目录（AD）攻击 · 钓鱼模拟 |
| 渗透测试 | 23 | 网络 · Web · 云 · 移动 · 无线渗透测试 |
| 端点安全 | 17 | 端点检测与响应（EDR）· LOTL 检测 · 无文件恶意软件 · 持久化狩猎 |
| 开发安全运营（DevSecOps） | 17 | CI/CD 安全 · 代码签名 · Terraform 审计 |
| 钓鱼防御 | 16 | 电子邮件认证 · 商业电子邮件妥协（BEC）检测 · 钓鱼事件响应 |
| 密码学 | 14 | TLS · Ed25519 · 证书透明度 · 密钥管理 |
| 零信任架构 | 13 | BeyondCorp · CISA 成熟度模型 · 微分段 |
| 移动安全 | 12 | Android/iOS 分析 · 移动渗透测试 · 移动设备管理（MDM）取证 |
| 勒索软件防御 | 7 | 前兆检测 · 响应 · 恢复 · 加密分析 |
| 合规与治理 | 5 | CIS 基准 · SOC 2 · 监管框架 |
| 欺骗技术 | 2 | 蜜罐令牌（Honeytokens）· 入侵检测金丝雀（breach detection canaries） |
人工智能代理如何运用这些技能
每项技能的扫描成本约为 30 个 tokens（仅包含前置信息），完全加载成本为 500–2,000 个 tokens（完整工作流程）。这种渐进式信息披露架构使代理能够在单次处理中搜索全部 754 项技能，而不会超出上下文窗口限制。
User prompt: "Analyze this memory dump for signs of credential theft"
Agent's internal process:
1. Scans 754 skill frontmatters (~30 tokens each)
→ identifies 12 relevant skills by matching tags, description, domain
2. Loads top 3 matches:
• performing-memory-forensics-with-volatility3
• hunting-for-credential-dumping-lsass
• analyzing-windows-event-logs-for-credential-access
3. Executes the structured Workflow section step-by-step
→ runs Volatility3 plugins, checks LSASS access patterns,
correlates with event log evidence
4. Validates results using the Verification section
→ confirms IOCs, maps findings to ATT&CK T1003 (Credential Dumping)
如果缺乏这些技能，智能体就会猜测工具命令，从而遗漏关键步骤。掌握这些技能后，它就能遵循资深数字取证与事件响应（DFIR）分析师的操作流程。
技能结构
每项技能都遵循一致的目录结构：
skills/performing-memory-forensics-with-volatility3/
├── SKILL.md ← Skill definition (YAML frontmatter + Markdown body)
├── references/
│ ├── standards.md ← MITRE ATT&CK, ATLAS, D3FEND, NIST mappings
│ └── workflows.md ← Deep technical procedure reference
├── scripts/
│ └── process.py ← Working helper scripts
└── assets/
└── template.md ← Filled-in checklists and report templates
YAML 前置内容（真实示例）
---
name: performing-memory-forensics-with-volatility3
description: >-
Analyze memory dumps to extract running processes, network connections,
injected code, and malware artifacts using the Volatility3 framework.
domain: cybersecurity
subdomain: digital-forensics
tags: [forensics, memory-analysis, volatility3, incident-response, dfir]
atlas_techniques: [AML.T0047]
d3fend_techniques: [D3-MA, D3-PSMD]
nist_ai_rmf: [MEASURE-2.6]
nist_csf: [DE.CM-01, RS.AN-03]
version: "1.2"
author: mukul975
license: Apache-2.0
---
Markdown 正文部分
## When to Use
Trigger conditions — when should an AI agent activate this skill?
## Prerequisites
Required tools, access levels, and environment setup.
## Workflow
Step-by-step execution guide with specific commands and decision points.
## Verification
How to confirm the skill was executed successfully.
Frontmatter 字段：name（串式命名法，1–64 个字符）、description（富含关键词，便于智能体发现）、domain（领域）、subdomain（子领域）、tags（标签）、atlas_techniques（MITRE ATLAS 标识符）、d3fend_techniques（MITRE D3FEND 标识符）、nist_ai_rmf（NIST AI RMF 参考）、nist_csf（NIST CSF 2.0 类别）。MITRE ATT&CK 技术映射记录在每个技能的 references/standards.md 文件中，以及随版本发布的 ATT&CK Navigator 层中。
📊 MITRE ATT&CK 企业版覆盖范围 — 全部 14 个战术
| 战术 | 标识符 | 覆盖程度 | 核心技能 |
|---|---|---|---|
| 侦察 | TA0043 | 强 | 开源情报（OSINT）、子域名枚举、DNS 侦察 |
| 资源开发 | TA0042 | 中 | 钓鱼基础设施、命令与控制（C2）设置检测 |
| 初始访问 | TA0001 | 强 | 钓鱼模拟、漏洞利用检测、强制浏览 |
| 执行 | TA0002 | 强 | PowerShell 分析、无文件恶意软件、脚本块日志记录 |
| 持久化 | TA0003 | 强 | 计划任务、注册表、服务账户、Living-off-the-Land（LOTL） |
| 权限提升 | TA0004 | 强 | Kerberoasting、Active Directory（AD）攻击、云权限提升 |
| 防御规避 | TA0005 | 强 | 混淆技术、 rootkit 分析、规避检测 |
| 凭证访问 | TA0006 | 强 | Mimikatz 检测、哈希传递、凭证转储 |
| 发现 | TA0007 | 中 | BloodHound、AD 枚举、网络扫描 |
| 横向移动 | TA0008 | 强 | SMB 漏洞利用、使用 Splunk 进行横向移动检测 |
| 收集 | TA0009 | 中 | 电子邮件取证、数据暂存检测 |
| 命令与控制 | TA0011 | 强 | C2 信标、DNS 隧道、Cobalt Strike 分析 |
| 数据渗出 | TA0010 | 强 | DNS 数据渗出、数据丢失防护（DLP）控制、数据丢失检测 |
| 影响 | TA0040 | 强 | 勒索软件防御、加密分析、恢复 |
v1.0.0 版本发布资产中包含ATT&CK Navigator 层文件，用于可视化覆盖范围映射。
注意： ATT&CK v19 将于 2026 年 4 月 28 日发布，将把防御规避（TA0005）拆分为两个新战术：隐匿（Stealth） 和 削弱防御（Impair Defenses）。技能映射将在即将发布的版本中更新。
📊 NIST CSF 2.0 对齐 — 全部 6 个职能
| 职能 | 技能数量 | 示例 |
|---|---|---|
| 治理（GV） | 30+ | 风险策略、政策框架、角色与职责 |
| 识别（ID） | 120+ | 资产发现、威胁态势评估、风险分析 |
| 保护（PR） | 150+ | 身份与访问管理（IAM）强化、Web 应用防火墙（WAF）规则、零信任、加密 |
| 检测（DE） | 200+ | 威胁狩猎、安全信息与事件管理（SIEM）关联分析、异常检测 |
| 响应（RS） | 160+ | 事件响应、取证、漏洞遏制 |
| 恢复（RC） | 40+ | 勒索软件恢复、业务连续性计划（BCP）、灾难恢复 |
NIST CSF 2.0（2024 年 2 月）新增了治理（Govern） 职能，并将范围从关键基础设施扩展到所有组织。技能映射对齐全部 22 个类别，并参考 106 个子类别。
📊 框架深度解析 — ATLAS、D3FEND、AI RMF
MITRE ATLAS v5.4 — AI/ML 对抗性威胁
ATLAS 映射了针对人工智能和机器学习系统的特定对抗策略、技术和案例研究。5.4 版本涵盖16 种策略和 84 种技术，包括 2025 年底新增的智能体 AI 攻击向量：AI 智能体上下文投毒、工具调用滥用、MCP 服务器入侵以及恶意智能体部署。与 ATLAS 映射的技能可帮助智能体识别并防御针对机器学习管道、模型权重、推理 API 和自主工作流的威胁。
MITRE D3FEND v1.3 — 防御性对策
D3FEND 是由 NSA 资助的知识图谱，包含267 种防御技术，分为 7 个战术类别：建模（Model）、强化（Harden）、检测（Detect）、隔离（Isolate）、欺骗（Deceive）、驱逐（Evict）和恢复（Restore）。它基于 OWL 2 本体构建，利用共享的数字工件层将防御性对策与 ATT&CK 攻击性技术进行双向映射。标有 D3FEND 标识符的技能使智能体能够针对检测到的威胁推荐特定的对策。
NIST AI RMF 1.0 + 生成式 AI 配置文件（AI 600-1）
人工智能风险管理框架（AI Risk Management Framework）定义了 4 个核心功能——治理（Govern）、映射（Map）、度量（Measure）、管理（Manage），并包含72 个子类别，用于可信赖 AI 的开发。生成式 AI 配置文件（AI 600-1，2024 年 7 月）新增了12 个特定于生成式 AI 的风险类别，从虚构信息和数据隐私到提示注入和供应链风险。科罗拉多州《人工智能法案》（2026 年 2 月生效）为遵守 NIST AI RMF 的组织提供了法律安全港，使得这些映射与法规合规直接相关。
兼容平台
AI 代码助手 Claude Code（Anthropic）· GitHub Copilot（Microsoft）· Cursor · Windsurf · Cline · Aider · Continue · Roo Code · Amazon Q Developer · Tabnine · Sourcegraph Cody · JetBrains AI
CLI 智能体 OpenAI Codex CLI · Gemini CLI（Google）
自主智能体 Devin · Replit Agent · SWE-agent · OpenHands
智能体框架与 SDK LangChain · CrewAI · AutoGen · Semantic Kernel · Haystack · Vercel AI SDK · 任何 MCP 兼容智能体
所有支持 agentskills.io 标准的平台都可以零配置加载这些技能。
大家的评价
"这是一个真实、有序的安全技能数据库，任何 AI 智能体都能接入使用。它不是教程，也不是博客文章。" — Hasan Toor (@hasantoxr)，AI/科技创作者
"这不是随机收集的安全脚本。它是一个结构化的操作知识库，专为 AI 驱动的安全工作流而设计。" — fazal-sec，Medium
相关收录
| 平台 | 类型 | 链接 |
|---|---|---|
| awesome-agent-skills | 精选列表（1000+ 技能索引） | VoltAgent/awesome-agent-skills |
| awesome-ai-security | 精选列表（AI 安全工具） | ottosulin/awesome-ai-security |
| awesome-codex-cli | 精选列表（Codex CLI 资源） | RoggeOhta/awesome-codex-cli |
| SkillsLLM | 技能目录与市场 | skillsllm.com/skill/anthropic-cybersecurity-skills |
| Openflows | 信号分析与追踪 | openflows.org |
| NeverSight skills_feed | 自动化技能索引 | NeverSight/skills_feed |
星标历史
版本发布
| 版本 | 日期 | 亮点 |
|---|---|---|
| v1.0.0 | 2026年3月11日 | 734项技能 · 26个领域 · MITRE ATT&CK + NIST CSF 2.0映射 · ATT&CK导航层 |
自v1.0.0版本发布以来，main分支上的技能持续增加——目前该库已包含754项技能，并支持5个框架映射（MITRE ATLAS、D3FEND和NIST AI RMF在发布后新增）。请查看版本发布获取最新标记版本。
贡献指南
本项目通过社区贡献不断发展。以下是参与方式：
添加新技能——诸如欺骗技术（现有2项技能）和合规与治理（现有5项技能）等领域最需要帮助。请遵循CONTRIBUTING.md中的模板提交PR，标题格式为Add skill: your-skill-name。
改进现有技能——添加框架映射、修复工作流、更新工具参考，或贡献脚本与模板。
报告问题——发现不准确的流程或损坏的脚本？提交issue。
每个PR将在48小时内进行技术准确性和agentskills.io标准合规性审查。请查看good first issues作为入门起点。
本项目遵循Contributor Covenant。参与本项目即表示您同意遵守此行为准则。
社区
💬 Discussions — 问题咨询、创意交流和路线图探讨 🐛 Issues — Bug报告和功能请求 🔒 Security Policy — 负责任的漏洞披露流程（48小时内确认）
引用说明
如果您在研究或出版物中使用本项目：
@software{anthropic_cybersecurity_skills,
author = {Jangra, Mahipal},
title = {Anthropic Cybersecurity Skills},
year = {2026},
url = {https://github.com/mukul975/Anthropic-Cybersecurity-Skills},
license = {Apache-2.0},
note = {754 structured cybersecurity skills for AI agents,
mapped to MITRE ATT\&CK, NIST CSF 2.0, MITRE ATLAS,
MITRE D3FEND, and NIST AI RMF}
}
许可协议
本项目基于 Apache License 2.0 许可协议发布。您可以在个人和商业项目中自由使用、修改和分发这些技能。
项目介绍
734+ 结构化网络安全技能，面向 AI 智能体 · 映射 MITRE ATT&CK · agentskills.io 标准 · Claude Code、Copilot、Codex CLI、Cursor、Gemini CLI【此简介由AI生成】
下载使用量
项目总下载次数（含Clone、Pull、 zip 包及 release 下载），每日凌晨更新