endorlabs/ai-plugins
GitHub: endorlabs/ai-plugins
Endor Labs 面向多种主流 AI 编码助手和 CLI 工具提供打包的 AppSec 工作流插件，帮助开发者用 AI Agent 自动化处理 SCA 修复、SAST 分诊和供应链安全评估等任务。
Stars: 5 | Forks: 0
# 🧩 Endor Labs AI 插件
Endor Labs Agent Kit 包的公共分发仓库，适用于 Claude
Code、Codex、Gemini CLI、Antigravity CLI、Cursor IDE、Cursor SDK 以及根目录的
MCP 支持上下文。
当前生成的 Agent Kit 包版本为：`2.1.0`。Agent Kit 维护者
会在此仓库中合并开放或更新已生成的分发 PR，但不会
自动提升包版本。版本提升是源自源仓库的刻意发布
行为。
## 🚦 从这里开始
| 我想要... | 前往这里 |
| --- | --- |
| 🚀 安装宿主包 | [快速开始](#-quick-start) |
| 🧾 查看变更内容 | [`CHANGELOG.md`](CHANGELOG.md) |
| 🖱️ 使用 Cursor IDE agents | [Cursor IDE](#cursor-ide) |
| 🐍 运行 Cursor SDK 自动化 | [`cursor-sdk/README.md`](cursor-sdk/README.md) |
| 🤖 请求 agent 审查此镜像 | [`docs/for-agents.md`](docs/for-agents.md) |
| 📦 从 Agent Kit 源同步 | [`docs/distribution-sync.md`](docs/distribution-sync.md) |
| ✅ 准备发布 | [`docs/plugin-release-checklist.md`](docs/plugin-release-checklist.md) |
机器可读的索引可在 [`llms.txt`](llms.txt) 中找到。
## 🧭 浏览分发内容
| 区域 | 内部内容 |
| --- | --- |
| 🧑💻 Claude Code | `.claude-plugin/marketplace.json`、`plugins/claude/endor-labs-agent-kit/`、旧版 `plugins/claude/ai-plugins/` |
| 🧠 Codex | `.agents/plugins/marketplace.json`、`plugins/codex/endor-labs-agent-kit/` |
| 💎 Gemini CLI | `plugins/gemini/endor-labs-agent-kit/` |
| 🛫 Antigravity CLI | `plugins/antigravity/endor-labs-agent-kit/` |
| 🖱️ Cursor IDE | `.cursor-plugin/`、根目录 `agents/`、根目录 `skills/`、根目录建议性 `hooks/`、`assets/logo.png` |
| 🐍 Cursor SDK | `cursor-sdk/` Python 启动器、生成的 prompts 和 agent 定义 |
| 🔁 根目录支持 | `.mcp.json`、`GEMINI.md` |
| 🧾 发布文档 | `docs/`、`llms.txt`、`plugins/README.md` |
## 🚀 快速开始
选择您的宿主环境，安装包，然后运行设置。设置会检查本地
就绪状态，不会运行扫描。
```
Use the endor-agent-kit-setup skill to check Endor Agent Kit readiness. Do not run scans.
```
### Claude Code
安装首选的包 ID：
```
/plugin marketplace add endorlabs/ai-plugins
/plugin install endor-labs-agent-kit@endorlabs
/reload-plugins
/agents
```
已固定到历史 ID 的现有 Claude Code 用户可以继续使用：
```
/plugin marketplace add endorlabs/ai-plugins
/plugin install ai-plugins@endorlabs
/reload-plugins
/agents
```
不要在同一个 Claude profile 中为了正常使用同时启用 `endor-labs-agent-kit@endorlabs` 和
`ai-plugins@endorlabs`。它们暴露了相同的设置 skill 和
agents。
详情：[`plugins/claude/endor-labs-agent-kit/README.md`](plugins/claude/endor-labs-agent-kit/README.md)。
### Codex
添加 Endor Labs marketplace，重启 Codex，然后从 Codex 插件目录安装 **Endor Labs Agent
Kit**：
```
codex plugin marketplace add endorlabs/ai-plugins \
--sparse .agents/plugins \
--sparse plugins/codex/endor-labs-agent-kit
```
安装后，启动一个新的 Codex 会话并请求 setup 安装或更新
捆绑的 Endor 自定义 agents：
```
Use the endor-agent-kit-setup skill to check readiness and install the bundled Codex custom agents.
```
详情：[`plugins/codex/endor-labs-agent-kit/README.md`](plugins/codex/endor-labs-agent-kit/README.md)。
### Cursor IDE
从 Cursor Agent 聊天中安装当前的公共 Cursor Marketplace 包：
```
/add-plugin endorlabs
```
Marketplace 页面：[`cursor.com/marketplace/endorlabs`](https://cursor.com/marketplace/endorlabs)。
打开目标项目文件夹，如果出现提示请重新加载 Cursor，然后运行设置：
```
Use the endor-agent-kit-setup skill to set up endorctl.
```
### Cursor SDK
使用 SDK 通道进行 Python 自动化、CI、编排、后端服务或
Cursor cloud agents：
```
python3 -m pip install -r cursor-sdk/requirements.txt
export CURSOR_API_KEY="crsr_..."
python cursor-sdk/run_cursor_agent.py endor-probe-droid-agent \
--workspace /path/to/repo \
"Explain what evidence you need to assess GitHub onboarding gaps. Keep it read-only."
```
Cloud 运行形态：
```
python cursor-sdk/run_cursor_agent.py endor-sca-remediation-agent \
--mode cloud \
--repo-url https://github.com/your-org/your-repo \
--ref main \
"Prepare a remediation plan only. Do not edit files or open a PR."
```
### Gemini CLI
从公共仓库安装生成的 Gemini 扩展包：
```
git clone https://github.com/endorlabs/ai-plugins
gemini extensions install ./ai-plugins/plugins/gemini/endor-labs-agent-kit
gemini extensions list
```
如需从检出版本进行本地验证，请安装生成的扩展目录：
```
gemini extensions install ./plugins/gemini/endor-labs-agent-kit
```
安装或重新安装扩展后，请重启 Gemini CLI。
Google 将 Antigravity CLI 记录为 Gemini
CLI 的使用者过渡路径。请在受支持的 Gemini CLI 环境和
兼容性检查中使用 Gemini 包；对于受影响的 Gemini CLI
使用者账户，请使用下方的 Antigravity 包。
详情：[`plugins/gemini/endor-labs-agent-kit/README.md`](plugins/gemini/endor-labs-agent-kit/README.md)。
### Antigravity CLI
克隆分发仓库，然后安装生成的插件目录：
```
git clone https://github.com/endorlabs/ai-plugins
cd ai-plugins
agy plugin validate ./plugins/antigravity/endor-labs-agent-kit
agy plugin install ./plugins/antigravity/endor-labs-agent-kit
agy plugin list
```
某些 Antigravity 安装会将命令公开为 `antigravity` 而不是 `agy`；
请使用相同的 `plugin validate`、`plugin install` 和 `plugin list` 子命令。
如果新安装的 skills 或子 agents 不可见，请重启 Antigravity CLI。
详情：[`plugins/antigravity/endor-labs-agent-kit/README.md`](plugins/antigravity/endor-labs-agent-kit/README.md)。
## ⚡ Agent 快速开始
| Agent | 最适用于 | Cursor / SDK 名称 | 安全性 | 首个 prompt |
| --- | --- | --- | --- | --- |
| 🔎 AI SAST Triage | 对 Endor AI SAST 结果进行分类并准备已批准的变更请求 | `endor-ai-sast-triage-agent` | 审批门控的可变性 | `Triage AI SAST findings for this repository. Do not edit files, open a PR/MR, create a ticket, or write an Endor policy until I approve the specific gate.` |
| 🧭 CI/CD And Supply Chain Posture | 根据现有的 Endor 结果和只读的 GitHub 配置证据评估 CI/CD 和供应链安全态势 | `endor-cicd-posture-agent` | 只读 | `Assess CI/CD and supply chain posture for namespace . Keep it read-only and validate the deterministic score.` |
| ⚖️ Dependency Decision Helper | 决定是否添加、升级到或保留特定的包版本 | `endor-dependency-decision-helper-agent` | 只读 | `Assess whether we should use npm lodash version 4.17.20. Keep it read-only.` |
| 📊 Package Risk Summary | 总结特定包版本的风险概况 | `endor-package-risk-summary-agent` | 只读 | `Summarize npm lodash version 4.17.20 with verified Endor evidence. Keep it read-only.` |
| 📚 Repository Dependency Reviewer | 使用只读文件检查和 Endor 证据审查本地依赖清单 | `endor-repository-dependency-reviewer-agent` | 只读 | `Review this repository's dependency manifests with read-only evidence only.` |
| ⬆️ Upgrade Impact Analysis | 结合 VersionUpgrade、CIA、findings 和清单上下文分析 Endor 平台的升级影响 | `endor-upgrade-impact-analysis-agent` | 只读 | `Show the safest upgrade path for repository / package lodash. Keep it read-only.` |
| 💬 Vulnerability Explainer | 了解特定的 CVE、GHSA 或 Endor 漏洞以及后续操作 | `endor-vulnerability-explainer-agent` | 只读 | `Explain CVE-2021-44228 using verified Endor evidence. Keep it read-only.` |
| 🧯 Endor Troubleshooter | 诊断设置、扫描、授权、策略或集成问题 | `endor-troubleshooter-agent` | 只读 | `Diagnose this Endor issue from redacted error text and read-only tenant evidence. Keep it read-only.` |
| 🔍 Findings Browser | 浏览、过滤并总结现有的 Endor 结果 | `endor-findings-browser-agent` | 只读 | `Show the critical and high reachable findings for namespace . Keep it read-only.` |
| 🤖 Malware Response | 将供应链恶意软件情报与租户资产清单进行关联 | `endor-malware-response-agent` | 只读 | `Use the malware-response workflow. Keep it within its generated safety contract.` |
| 📡 Probe Droid | 评估 GitHub 入门引导和受监控分支的覆盖盲区 | `endor-probe-droid-agent` | 只读 | `Explain what evidence you need to assess GitHub onboarding gaps for this repository. Keep it read-only.` |
| 🗺️ Remediation Planner | 在不打开 PR 的情况下预览安全的依赖修复选项 | `endor-remediation-planner-agent` | 只读 | `Preview remediation options for this repository. Do not edit files or open a PR/MR.` |
| 🛠️ SCA Remediation | 利用 Endor SCA 证据寻找安全的依赖修复路径 | `endor-sca-remediation-agent` | 审批门控的可变性 | `Inspect this repository and prepare a remediation plan only. Do not edit files, create branches, push, open a PR/MR, create a ticket, or write Endor policy.` |
| 🧰 Setup | 检查宿主、授权、namespace、`endorctl`、`gh` 和工作流就绪状态 | `endor-agent-kit-setup-agent` | 只读 | `Check Endor Agent Kit readiness for this repository. Do not run scans.` |
提供程序包暴露了源自 Agent Kit
源配方的相同生成工作流集。请参阅宿主包 README 以获取确切的安装和调用
语法。
## 📦 分发路径
| 宿主 | 分发路径 | 说明 |
| --- | --- | --- |
| Claude Code | `.claude-plugin/marketplace.json`、`plugins/claude/endor-labs-agent-kit/`、`plugins/claude/ai-plugins/` | 首选包以及旧版兼容。 |
| Codex | `.agents/plugins/marketplace.json`、`plugins/codex/endor-labs-agent-kit/` | Skills、自定义 agent TOML 文件和安装脚本。 |
| Gemini CLI | `plugins/gemini/endor-labs-agent-kit/` | 本地目录安装；用于公共安装的带标签 GitHub 仓库。 |
| Antigravity CLI | `plugins/antigravity/endor-labs-agent-kit/` | 包含根目录 `plugin.json` 的包目录。 |
| Cursor IDE | `.cursor-plugin/`、`agents/`、`skills/`、`hooks/`、`assets/logo.png` | 源生成的 Cursor 插件 agents、支持 skills 和建议性 hooks。 |
| Cursor SDK | `cursor-sdk/` | Python SDK 启动器、生成的 prompts 以及本地/云运行说明。 |
| 根目录支持 | `.mcp.json`、`GEMINI.md` | 可选的 MCP 支持上下文；仓库根目录不是 Gemini 扩展根目录。 |
## 🔒 安全规则
- 设置是就绪指导；它绝不能运行扫描或修改仓库。
- 设置绝不能运行 `endorctl host-check`。
- 安装、更新、授权、namespace 和特定于宿主的包步骤必须是
明确的且有证据支持。
- 不得打印、保留或复制 secret 值。仅通过变量或密钥名称报告凭据的存在。
- 实时的 Endor API 证据需要明确的批准和 namespace 来源。
- 变更性工作流将文件编辑、分支推送、PR/MR 创建、评论、
工单、批准验证和 Endor 策略写入拆分为单独的门控。
## 🔁 源同步
请勿通过编辑此仓库中的包文件来更改生成的 Agent Kit 行为。请在
Agent Kit 源仓库中进行行为更改，在那里重新生成，
然后让 Agent Kit 发布工作流在此处打开一个生成的 PR。
生成的同步 PR 应包含：
- PR 正文中的源 Agent Kit commit
- `provenance/agent-kit-catalog.intoto.json`
- `provenance/manifest.sha256`
- 根 skills、建议性 hooks、JSON 元数据、Cursor
SDK、Gemini no-zip、逐字节生成的表面差异的验证证据，以及
`git diff --check`
手动回退使用 Agent Kit 同步脚本：
```
AGENT_KIT_REPO="/path/to/endor-labs-agent-kit"
python3 "$AGENT_KIT_REPO/scripts/sync_ai_plugins_distribution.py" \
--source "$AGENT_KIT_REPO" \
--target .
```
## ✅ 验证
```
for skill in skills/*; do python3 scripts/quick_validate.py "$skill"; done
python3 -m json.tool .claude-plugin/marketplace.json >/dev/null
python3 -m json.tool .agents/plugins/marketplace.json >/dev/null
python3 -m json.tool .cursor-plugin/marketplace.json >/dev/null
python3 -m json.tool .cursor-plugin/plugin.json >/dev/null
python3 -m json.tool cursor-sdk/agent_definitions.json >/dev/null
python3 -m json.tool hooks/hooks.json >/dev/null
python3 -m json.tool plugins/claude/endor-labs-agent-kit/hooks/hooks.json >/dev/null
python3 -m json.tool plugins/codex/endor-labs-agent-kit/hooks/hooks.json >/dev/null
python3 -m json.tool plugins/gemini/endor-labs-agent-kit/hooks/hooks.json >/dev/null
python3 -m json.tool plugins/antigravity/endor-labs-agent-kit/hooks.json >/dev/null
test ! -e plugins/claude/ai-plugins/hooks
for hook_script in hooks/*.sh plugins/*/*/hooks/*.sh; do bash -n "$hook_script"; done
python3 - <<'PY'
import py_compile
py_compile.compile("cursor-sdk/run_cursor_agent.py", cfile="/tmp/run_cursor_agent.pyc", doraise=True)
PY
test ! -e gemini-extension.json
test -f plugins/gemini/endor-labs-agent-kit/gemini-extension.json
test ! -e plugins/gemini/endor-labs-agent-kit.zip
git diff --check
```
这些检查也会在每次 pull request 时通过
[`.github/workflows/validate.yml`](.github/workflows/validate.yml) 自动运行。
生成的偏差检查：
```
AGENT_KIT_REPO="/path/to/endor-labs-agent-kit"
diff -qr "$AGENT_KIT_REPO/plugins" ./plugins
diff -qr "$AGENT_KIT_REPO/.cursor-plugin" ./.cursor-plugin
diff -qr "$AGENT_KIT_REPO/agents" ./agents
diff -qr "$AGENT_KIT_REPO/cursor-sdk" ./cursor-sdk
diff -qr "$AGENT_KIT_REPO/hooks" ./hooks
for skill in "$AGENT_KIT_REPO"/skills/*; do
name=${skill##*/}
[ "$name" = "create-endor-labs-agent" ] && continue
diff -qr "$skill" "./skills/$name"
done
diff -q "$AGENT_KIT_REPO/assets/logo.png" assets/logo.png
```
## 🗂️ 仓库参考
```
.agents/plugins/marketplace.json
.claude-plugin/marketplace.json
.cursor-plugin/
agents/
assets/logo.png
cursor-sdk/
docs/
hooks/
.mcp.json
GEMINI.md
llms.txt
plugins/
scripts/
skills/
```
## 许可证
此仓库包含现有的 `LICENSE` 文件以及用于公共分发包的 Endor Labs 插件
元数据。请在公开提交前确认最终的 marketplace、
license 和宿主元数据要求。
标签：CI/CD安全, CISA项目, Homebrew安装, IP 地址批量处理, Llama, MCP, Python安全, SAST, 人工智能插件, 威胁情报, 开发者工具, 盲注攻击, 逆向工具