Skill: ronie-shi/fanzhi-security-skill-generator (version 2.0.0)

--- name: fanzhi-security-skill-generator description: 自动生成和优化安全SKILL的元SKILL。功能包括：CVE监控（每月自动抓取最新漏洞并生成检测规则）、SKILL模板生成（从需求自动生成安全类SKILL.md）、自我优化（分析现有安全SKILL输出优化建议）、Cron定时任务配置。遵循纯知识范式：AI阅读后自行生成代码。支持OWASP五报告框架、ClawHavoc供应链攻击检测、零日漏洞识别。 metadata: {"clawdbot":{"emoji":"🔐","requires":[],"os":[]}} --- <!-- 🦞 fanzhi-provenance --> > **ContentID**: `fz:skill:NEW:wsl_lobster:sg001` > **Owner**: 泛智生态 / Ronie & 泛智小龙虾 > **Provenance**: 2026-05-20 升级为纯知识范式（零代码块） > **Updated**: 2026-05-20 # 安全SKILL生成器 — 元技能 > **设计**: 本元SKILL不包含任何代码。以下内容是"如何生成一个安全SKILL"的知识体系。 > AI 智能体阅读后自行理解生成逻辑、设计模板并输出可用的安全SKILL。 > 所有生成的SKILL应遵循纯知识范式：零代码块，AI阅读后自行生成检测命令。 --- ## 职责 当被要求生成一个安全SKILL时，AI 智能体应当： 1. 读取本 SKILL 了解安全SKILL的生成规则和最佳实践 2. 识别用户需求场景类型（CVE检测/代理安全/供应链/合规） 3. 理解四维度评估矩阵，选择对应的元模板结构 4. 生成纯知识范式的 SKILL.md（零代码块） 5. 验证生成的 SKILL 符合质量标准（7步审查） --- ## ① 生成一个安全SKILL的通用流程 ### 第一步：理解需求 从用户描述中提取关键参数： - **场景类型**: CVE检测 / 代理安全 / 供应链 / 合规审计 - **目标组件**: 要检测的软件、框架或配置 - **漏洞/风险名称**: CVE编号或描述性名称 - **严重程度**: 可选 CRITICAL / HIGH / MEDIUM / LOW ### 第二步：选择元模板 根据场景类型选择对应的知识组织方式： **CVE检测型**：以CVE编号为主轴，依次描述漏洞描述、影响范围、检测条件（受影响的代码模式、版本范围、配置特征）、修复建议。参考 References 提供 NVD 链接。 **代理安全型**：以OWASP ASI编号为主轴，依次描述攻击面（ASI01-10）、检测规则（Agent配置中的模式）、已知攻击向量、缓解措施。参考 OWASP Agentic Top 10 框架。 **供应链型**：以第三方依赖链为主轴，依次描述依赖类型（npm/pip/go/rust）、已知漏洞版本范围、恶意技能检测规则（内存写入、shell执行、origin缺失）、攻击案例（如ClawHavoc）。参考 OWASP Agentic Skills Top 10。 **合规审计型**：以合规标准条款为主轴，依次描述标准要求、检测条件、预期结果、不合规风险。参考 OWASP Top 10 / GDPR / 等保标准。 ### 第三步：组织知识内容 每个生成的 SKILL 应包含以下层次： - Frontmatter，含 YAML 格式的 name、description、metadata - Provenance，含 ContentID、Owner、Updated 字段 - 功能概述，一段话说明 SKILL 用途 - 检测规则，用自然语言描述要检测什么、用什么方法、找什么模式 - 参考信息，外部链接 - 安全性说明，如果涉及检测关键词，声明仅用于检测不涉及执行 ### 第四步：验证质量 生成的 SKILL.md 应符合以下检查： | 维度 | 检查项 | |------|--------| | 范式 | 零代码块，纯自然语言 | | Frontmatter | name / description / metadata 完整 | | Provenance | ContentID / Owner / Updated 完整 | | 规则描述 | 每条检规则都有清晰的模式描述和检测条件 | | References | 至少 3 条外部参考链接 | | 安全性 | 检测关键词声明（仅用于grep匹配） | --- ## ② CVE 知识处理规则 ### CVE 数据源 以下数据源可用于获取最新的 CVE 信息。AI 应当按需访问： - **NVD API**: NIST National Vulnerability Database，官方CVE发布时间线。可按发布时间范围查询。URL格式遵循 REST API v2.0 规范。 - **CVE.news**: 第三方CVE聚合平台，实时整理，中文友好。 - **CNVD**: 中国国家漏洞库，覆盖国内厂商漏洞。 ### CVE 过滤规则 从原始数据中提取有效检测规则时，按以下优先级过滤： 1. **CVSS 评分 ≥ 7.0**: 只处理 HIGH 和 CRITICAL 级别 2. **受影响组件明确**: 有明确的组件名称和版本范围 3. **可检测性**: 能够在代码/配置文件中通过文本模式匹配检测 对于符合条件的 CVE，提取以下信息生成检测规则： - **CVE ID**: 编号 - **描述**: 前 500 字符 - **CVSS 评分**: 数字评分 - **严重程度**: CRITICAL / HIGH - **检测模式**: 应从描述和受影响的 CPE 中提取关键词，用于 grep 匹配 - **参考链接**: NVD 页面 ### 已知漏洞版本范围 以下组件的安全版本门槛可作为知识参考，AI 在检测时应该识别目标项目中的版本声明并与之比对： | 组件 | 最低安全版本 | 版本声明文件 | |------|------------|------------| | Log4j | 2.17.0 | pom.xml, build.gradle | | OpenSSL | 1.1.1w / 3.0.13 | Dockerfile, Makefile | | Nginx | 1.25.0 | Dockerfile, .yml | | Node.js | 20.11.0 | .nvmrc, Dockerfile | | Python | 3.7+ (3.6 EOL) | Dockerfile, requirements.txt | ### CVE 定期更新机制 建议通过系统定时任务或 Agent 自身的周期性处理机制（如每月1日），按以下流程更新本地 CVE 知识： 1. 访问 NVD API：查询最近 N 天的新发布 CVE 2. 过滤 CRITICAL / HIGH 级别，排除 CVSS < 7.0 的条目 3. 为每个符合条件的 CVE 生成检测规则 4. 更新到本地 CVE 知识库，避免重复 5. 记录更新时间和新增数量 --- ## ③ SKILL 优化知识体系 ### 七步审查流程 生成的或已有的安全 SKILL 应按以下七步审查： | 步骤 | 检查内容 | 通过标准 | |------|---------|---------| | 1. Frontmatter | YAML头完整性 | name / description / metadata 都存在 | | 2. Provenance | 溯源标记 | 有 ContentID 和 Owner | | 3. 代码块 | 代码块数量 | 纯知识范式应为 0 | | 4. References | 参考链接 | 至少 3 条有效链接 | | 5. 中英文 | 技术术语定义 | 英文术语首次出现时有中文说明 | | 6. AI可执行性 | 描述清晰度 | AI可据此生成检测命令 | | 7. 安全性 | 发布风险 | 无易误判的恶意关键词字面量 | ### 常见问题与修正 | 问题 | 表现 | 修正方式 | |------|------|---------| | 代码块过多 | SKILL包含可执行的bash脚本 | 将逻辑描述转为自然语言规则 | | scripts/目录 | 附带预装脚本 | 删除，AI动态生成 | | ClawHub误判 | 检测关键词触发了静态分析 | 检测模式变量化 + 声明块 | | 泛域名Reference | 链接指向首页而非具体页 | 搜索有效子页面或GitHub仓库 | | 英文术语无解释 | ASI/CVE/OWASP 等未定义 | 首次出现时加注中文说明 | ### 优化后验证 每次优化后输出对比报告，包含： - **优化前 vs 优化后**: 文件大小、代码块数、脚本数 - **检查项状态**: 七步审查的每一项结果 - **残留问题**: 需人工确认的边界情况（如泛域名Reference） --- ## ④ 模板知识结构 以下是在生成各类型 SKILL 时应遵循的元模板布局。AI 阅读以下布局规则后，自行编排内容，不得产出代码块。 ### CVE检测型布局 AI按以下结构编排内容，不得产出代码块： - Frontmatter 和 Provenance 在文件开头 - 标题为 {CVE} — {组件} 漏洞检测 - 适用场景说明检查什么 - 漏洞信息包含 CVE ID、CVSS评分、严重程度 - 检测条件描述受影响文件类型和匹配规则，以及版本比对方法 - 修复建议说明升级目标版本 - References 部分包含 NVD 具体链接 ### 代理安全型布局 AI按以下结构编排内容，不得产出代码块： - Frontmatter 和 Provenance 在文件开头 - 标题为 代理AI安全审计 - 框架声明基于 OWASP Agentic Top 10 2026 - 检测项清单按 ASI01-ASI10 逐项描述检测规则（自然语言） - 安全编码参考总结输入验证、凭证管理、防御纵深要点 - References 部分包含 OWASP 框架链接 ### 供应链型布局 AI按以下结构编排内容，不得产出代码块： - Frontmatter 和 Provenance 在文件开头 - 标题为 供应链安全审计 - 检测范围覆盖 npm、pip、go、rust 等依赖类型 - 恶意技能检测描述如何检查已安装SKILL中的异常行为（如内存写入、shell执行、origin缺失） - 攻击案例部分列出 ClawHavoc、Fox Tempest、NTLM RCE 等真实案例及其检测要点 - References 部分包含安全公告链接 --- ## ⑤ 发布指引 生成的 SKILL 在发布到 ClawHub 或其他平台前，应确保以下条件： **纯知识范式要求**: - 零代码块，零可执行脚本 - metadata.requires 和 metadata.os 为空（AI阅读，不约束用户环境） - 所有检测规则用自然语言描述 - AI 可据此独立生成检测命令 **安全性要求**: - 如果检测规则中包含可能被静态分析误判的关键词，在 SKILL 首部添加免责声明 - 说明该关键词仅用于 grep/正则匹配检测模式，不用于自动执行 **完整性要求**: - Frontmatter 和 Provenance 完整 - 至少 3 条外部 Reference - 英文技术术语首次出现时有中文说明 --- ## References - [OWASP LLM Top 10 v2.0](https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-v2-0/) - [OWASP Agentic Top 10 2026](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/) - [OWASP Agentic Skills Top 10](https://github.com/OWASP/www-project-agentic-skills-top-10) (March 2026) - [OWASP GenAI Data Security 21 Risks](https://genai.owasp.org/) (March 2026) - [NVD — National Vulnerability Database](https://nvd.nist.gov/) - [CVE.news Database](https://www.cve.news/) - [ClawHavoc Detection](https://github.com/eze-is/agents-of-chaos)


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal:  | SkillSpector:  ()