红队 / SOC / 威胁狩猎必备！818 条SKILL安全技能，渗透、云安全、事件响应全覆盖，赋能安全研判与实操

0x01 工具介绍

Anthropic-Cybersecurity-Skills 是面向 AI Agent 的开源网络安全技能库，内含 818 项生产级结构化技能，覆盖 34 个安全领域，对齐 MITRE ATT&CK、ATLAS、D3FEND、F3 反欺诈、NIST CSF 2.0、AI RMF 六大框架。遵循 agentskills.io 开放标准，兼容 Claude Code、Cursor、Codex CLI 等主流 AI 开发工具。区别于零散 POC 脚本，它沉淀资深分析师标准化工作流，可支撑红队演练、DFIR 取证、威胁狩猎、漏洞测试等场景，赋能 AI 代理完成专业安全研判与操作。

0x02 功能介绍

核心特点

到2026年，全球网络安全人才缺口将达到480万个（ISC2）。人工智能代理可以帮助填补这一缺口，但前提是它们必须拥有结构化的领域知识。如今的代理可以编写代码和搜索网络，但它们缺乏将通用法学硕士（LLM）培养成合格安全分析师所需的实践经验。

现有的安全工具库提供字典、有效载荷或漏洞利用代码。但它们都无法为人工智能代理提供高级分析师所遵循的结构化决策工作流程：何时使用每种技术、需要检查哪些前提条件、如何逐步执行以及如何验证结果。而这正是本项目旨在填补的空白。

Anthropic Cybersecurity Skills并非脚本或清单的集合，而是一个基于AI 原生技术构建的知识库，完全符合 agentskills.io 标准——采用 YAML 前置元数据实现亚秒级快速发现，使用结构化 Markdown 进行分步执行，并提供参考文件以深入理解技术背景。每个技能都编码了真实的从业人员工作流程，而非系统生成的摘要。

内容包括——34个安全域

0x03 更新介绍

身份：10 项关于 Entra ID 和 ADCS 攻击的技能（ROADtools、GraphRunner、AADInternals、Certipy、BloodHound CE、设备代码网络钓鱼），因为被盗凭证和有效帐户滥用现在会导致初始访问。云原生：8 项技能（Stratus Red Team、Pacu、CloudFox、容器逃逸、Kubernetes RBAC、Falco、Trivy、kube-bench）。进攻性 C2 和横向移动：6 项技能（Sliver、Havoc、NetExec、DPAPI、NTLM 中继到 ESC8、重定向器基础设施）。DFIR：6 项技能（隼、电锯、KAPE、迅猛龙、Eric Zimmerman 工具、Plaso）。瘦域的回填：OpenCTI、MISP、蜜罐令牌和后量子密码学迁移。

0x04 使用介绍

安装与使用指南

AI 如何运用这些技能

扫描每个技能（仅扫描前端信息）大约需要 30 个令牌，而完整加载（完整工作流程）则需要 500 到 2000 个令牌。这种渐进式披露架构使得代理能够在一次扫描中搜索所有 818 个技能，而不会超出上下文窗口。

User prompt: "Analyze this memory dump for signs of credential theft"Agent's internal process:  1. Scans 818 skill frontmatters (~30 tokens each)     → identifies 12 relevant skills by matching tags, description, domain  2. Loads top 3 matches:     • performing-memory-forensics-with-volatility3     • hunting-for-credential-dumping-lsass     • analyzing-windows-event-logs-for-credential-access  3. Executes the structured Workflow section step-by-step     → runs Volatility3 plugins, checks LSASS access patterns,        correlates with event log evidence  4. Validates results using the Verification section     → confirms IOCs, maps findings to ATT&CK T1003 (Credential Dumping)

如果没有这些技能，智能体就只能猜测工具指令，从而错过关键步骤。有了这些技能，它就能像资深数字取证与事件响应（DFIR）分析师一样，遵循相同的操作流程。

技能解剖学

skills/performing-memory-forensics-with-volatility3/├── SKILL.md              ← Skill definition (YAML frontmatter + Markdown body)├── references/│   ├── standards.md      ← MITRE ATT&CK, ATLAS, D3FEND, NIST mappings│   └── workflows.md      ← Deep technical procedure reference├── scripts/│   └── process.py        ← Working helper scripts└── assets/    └── template.md       ← Filled-in checklists and report templates