标签 Security 下的文章

Python SkillSpector 英伟达开源的智能体技能安全扫描器
项目
智能体技能生态正在爆发，Claude Code、Codex CLI、Gemini CLI 的技能市场里每天都在上新。但很少有人想过一个问题：你随手装进来的技能文件，本质上是一段会被智能体执行的自然语言指令和脚本，它让你删文件、外传数据、执行陌生命令时，智能体多半会照办。NVIDIA 对 31132 个技能样本的分析显示，26.1% 存在漏洞，5.2% 有明显恶意意图。装一个来路不明的技能，风险和执行一段陌生脚本没有区别。 SkillSpector 就是为此而生的扫描器：在安装...
MCP REA 用智能体逆向任意软件与二进制
项目
看到一个竞品 App 里很棒的功能，想搞清楚它是怎么实现的，却苦于没有源码——这种“逆向”需求在产品和工程里太常见了。传统逆向工具要么门槛高（IDA/Ghidra），要么和 AI 工作流脱节。REA 的切入点很巧：把逆向能力做成一个 MCP，让你的编码智能体直接调用。 REA（Reverse Engineer Anything）是一个面向逆向工程的 MCP 与 agent 工具集，覆盖原生二进制、JavaScript/Electron 应用、.NET 程序集和网站。你只需用自...
MCP rea 用智能体对二进制与应用做一次彻底的逆向
项目
逆向工程一直是个门槛很高的活：动静态分析、反汇编、跨平台差异、运行时行为追踪，每一步都要专业工具和经验。更麻烦的是，这些知识很难跟智能体共享——你没法简单地把“这个二进制为什么这么跳”讲给一个通用智能体听。morluto 的 REA（Reverse Engineer Anything）把这件事翻转过来：它提供一个 MCP 服务，让 Claude Code、Codex、Cursor、Gemini CLI 等智能体直接对二进制、应用和运行时行为做逆向分析，从“这个 App 的搜索...
Skill security-audit-skill 把编码智能体变成可验证的安全审计专家
项目
把“让 AI 帮我看看代码有没有安全漏洞”这句话说出口很简单，但要真正落地却处处是坑：大部分编码智能体只会顺手扫一遍就给出结论，既说不清覆盖到了哪些入口，也无法证明某个“漏洞”真的能触发。安全审计最怕两件事——覆盖不全和结论不可信。Cloudflare 开源的 security-audit-skill 正是冲着这两个痛点来的：它把审计拆成多阶段流程，用互相独立的验证智能体交叉确认每条发现，输出机器可读、可复核的结果。
Skill security-audit-skill 把AI编码代理变成严谨的安全审计师
项目
让 AI 编码代理帮你看代码漏洞，听起来很美，但真用起来常常翻车：要么它顺着你的暗示「确认」了一个根本不存在的漏洞，要么悄悄漏掉真正危险的边界问题。很多企业把安全审计交给代理后，拿到的报告水分很大，没法直接拿来修。Cloudflare 把自己的漏洞猎杀体系提炼成了一个可单独使用的 skill 并开源出来，让任意编码代理都能跑一套结构化的多阶段安全审计。 这个 skill 不是「让模型随便找 bug」那么简单。它把一次审计拆成侦察、覆盖驱动的猎杀、候选验证、结构化输出、独立记录...
Skill security-audit-skill 把AI编程助手变成安全审计员
项目
代码写完了，安全吗？绝大多数团队靠人工 code review 或上线前的渗透测试兜底，但 AI 编程助手在帮你写代码的同时，几乎没人让它回头去审自己的产物。Cloudflare 开源的 security-audit-skill 把这件事做成了一套可编排的流程：它让 coding agent 变成一名安全审计员，通过侦察、覆盖驱动的狩猎、候选验证、结构化输出、独立复核和去目标化报告六个阶段，系统性地找出漏洞。