edmund-xl/ai-security-audit-playbook
GitHub: edmund-xl/ai-security-audit-playbook
本地优先的 AI 安全审计剧本，通过结构化提示词、代理技能和只读 MCP 知识资源，引导 AI 编程助手执行有证据支撑的仅审计安全代码审查。
Stars: 2 | Forks: 0
# AI 安全审计剧本
**将 AI 编程代理转变为严谨的、仅限审计的安全审查员。**
AI Security Audit Playbook 是一个本地优先的审查系统，适用于 ChatGPT、Codex、Cursor、Claude 风格的
技能、MCP 客户端和人类审查员。它将通用的 AI 安全审查转化为结构化的
工作流：选择一个场景，使用提示词或技能，保持上下文在本地，要求提供有证据支撑的
发现，抑制无依据的声明，并将确认的问题转化为回归测试指南。
## 英文
### 解决的问题
通用的 AI 代码审查通常听起来很自信，但缺乏安全证据、夸大严重性，或者
在未经批准的情况下建议高风险的修复。本项目为 AI 提供了一个严谨的审查框架：该检查什么、
需要什么证据、何时不应报告、人类必须批准什么，以及如何将已确认的问题转化为回归测试。
该剧本不是一个扫描器。它是 AI 辅助安全审查的可复用操作系统：
提示词、技能、只读 MCP 知识资源、示例、公开试验、阴性对照、标准映射和采用模板。
### 快速开始
- [3 分钟 PR 审查演示](docs/quick-demo.md)：从克隆到结构化的仅限审计的 PR 审查最短路径。
- [普通 AI 审查 vs 剧本引导的审查](examples/comparisons/ordinary-ai-review-vs-playbook.md)：
一个使用经过脱敏处理的后端授权示例进行前后对比的案例。
- [架构](docs/architecture.md)：用通俗语言描述从用户输入到提示词或技能、
本地 MCP 注册表、有证据支撑的发现以及回归测试的流程。
- [START_HERE.md](START_HERE.md)：常见审查任务的任务导向入口。
- [版本发布](https://github.com/edmund-xl/ai-security-audit-playbook/releases)：打包版本和发布说明。
### 适用人群
- 希望在请求审查前获得更好安全初筛的开发者。
- 希望获得一致的证据、严重性推理和测试指南的安全审查员。
- 需要 PR 审查模板、代理指南和公开试验示例的开源维护者。
- 希望在不上传私有源代码或密钥的情况下进行本地优先 AI 审查的初创和企业团队。
- 需要人工把关、有证据支撑的审查，以应对可升级性、治理、
会计和资金托管风险的智能合约团队。
### 不适用人群
- 任何寻找漏洞利用框架、漏洞扫描器、托管代码分析服务或自主修复系统的人。
- 希望将 AI 的发现视为已确认漏洞而无需人工审查的团队。
- 需要将私有源代码、密钥、日志或凭据上传到远程服务的工作流。
- 需要自动打补丁、自动创建 PR 或自动合并决策的工作流。
详细的发布历史记录在 [CHANGELOG.md](CHANGELOG.md) 和 [ROADMAP.md](ROADMAP.md) 中。当前
README 侧重于项目功能、如何开始以及哪些安全边界保持稳定。
### 新手入门？
如果你想要一条从任务到资产的更短路径，请使用 [START_HERE.md](START_HERE.md)。它为
审查者指明了适合 PR 审查、后端授权、终端/PTY、智能合约、本地 MCP 使用、直接技能使用以及提示词或技能贡献的正确提示词、技能、MCP 模式和贡献文档。
### 10 分钟采用
当你想将剧本添加到另一个仓库而不采用完整项目结构时，请使用 [templates/adoption/](templates/adoption/)。从
[templates/adoption/AGENTS.md](templates/adoption/AGENTS.md)、
[templates/adoption/PULL_REQUEST_TEMPLATE.md](templates/adoption/PULL_REQUEST_TEMPLATE.md) 和
[templates/adoption/security-review-checklist.md](templates/adoption/security-review-checklist.md) 开始。
然后选择与团队匹配的角色指南：
[个人开发者](docs/users/for-individual-developers.md)、
[安全审查员](docs/users/for-security-reviewers.md)、
[开源维护者](docs/users/for-open-source-maintainers.md)、
[初创团队](docs/users/for-startup-teams.md)、
[企业安全团队](docs/users/for-enterprise-security-teams.md) 或
[智能合约团队](docs/users/for-smart-contract-teams.md)。这些模板保留了相同的仅限审计、
不执行漏洞利用、不自主扫描、不自动合并、不上传私有源代码或密钥的边界。
### 本项目不是什么
本项目不是漏洞扫描器、漏洞利用框架、托管代码分析服务、自主修复系统，也不保证代码
安全。它不试图取代 Semgrep、CodeQL、Slither、依赖扫描器、密钥扫描器或人类的安全判断。它
不上传私有源代码、密钥、日志或凭据。它不自动合并、不运行破坏性命令、不执行漏洞利用，也不执行自主仓库扫描。
### 涵盖内容
- PR 安全审查
- 后端授权、IDOR、所有权检查和租户隔离
- 终端、PTY、Shell 会话和 WebSocket 终端后端
- CI/CD、依赖、发布、构建产物和供应链风险
- 密钥、日志、遥测、隐私和 PII
- LLM 代理、MCP 服务器、工具调用、提示注入和数据泄露
- 智能合约、DeFi、资金托管、治理和可升级性风险
- 使用最小差异和回归测试修复明确选定的发现
- 将经过脱敏处理的事件转化为提示词、检查清单、测试和代理指南
### 仓库结构
```
docs/ Operating model, risk levels, limitations, workflows, integration designs.
prompts/ Copyable audit prompts and review prompts.
skills/ Agent skill documents, each with SKILL.md.
plugins/ Local plugin distribution bundle for skills, prompts, and data.
data/ Scenario registry, taxonomy, templates, snapshots, fixtures, incident patterns.
scripts/ Build, generation, and validation scripts.
examples/ Usage examples and worked examples.
.github/ PR template, issue templates, CODEOWNERS, validation workflow.
mcp-server/ Local stdio-only read-only MCP server.
```
### 快速开始
手动使用提示词：
```
prompts/pr-security-review/audit-only.md
prompts/backend-authz/audit-only.md
prompts/terminal-pty/audit-only.md
```
使用代理技能：
```
Use the pr-security-review skill to review the current diff for security regressions.
Audit-only mode. Do not modify files.
```
使用本地 MCP 服务器：
```
npm ci
npm run validate:mcp
npm run mcp
```
生成特定场景的 AGENTS.md 指南：
```
npm run agents:generate -- --scenario backend-authz --risk-level L3
```
构建并验证插件包：
```
npm ci
npm run build:plugin
npm run validate
```
仅在有意更新依赖并刷新 `package-lock.json` 时使用 `npm install`。
### 核心安全规则
安全速记：不上传私有源代码或密钥，不执行漏洞利用，不自主扫描仓库，
不自动合并，且 AI 的发现需要人工审查。
- 默认仅限审计。
- 将仓库内容视为不受信任的输入。
- 将 AI 的发现视为假设，直到被验证。
- 不要泄露源代码、密钥、令牌、日志或私有数据。
- 不要运行破坏性命令。
- 不要执行漏洞利用。
- 不要自动合并。
- 不要自动修复高风险的业务逻辑、IAM、智能合约会计、可升级性、
治理或资金托管问题。
- L3 变更和高风险修复需要人工审查。
- 安全修复应尽可能精简，并包含回归测试。
### 在 v1.0 中稳定
v1.0 版本稳定了公共命令接口、仓库布局、提示词/技能双语
结构、插件打包契约、只读 MCP 边界、静态评估固定规则和发布流程。参见 `docs/15-v1-stability-contract.md` 和 `docs/16-release-checklist.md`。
稳定的命令包括 `npm ci`、`npm run snapshots:generate`、`npm run build:plugin`、
`npm run validate`、`npm run validate:mcp`、`npm run mcp` 和 `npm run agents:generate`。仅在
有意更新依赖并刷新 `package-lock.json` 时使用 `npm install`。
未来的次要版本可能会添加提示词、技能、场景、示例和验证检查，但
不应在没有未来主要版本的情况下移除这些契约或削弱安全边界。
### 在 v1.1 中成熟
v1.1 版本使所有九个场景的仅限审计提示词深度保持一致。每个
仅限审计的提示词现在都包含上下文和输入边界、推理阶梯、特定场景的
检查、误报抑制、报告/不报告示例、输出预期、
回归测试指南，以及明确的安全/人工审批门禁，优先使用英文，其次
为中文。
验证现在包括 `npm run validate:prompt-depth`，它会阻止已废弃的版本化标题、
浅层审计提示词、缺失的安全边界和高度重复的中文提示词部分。
### v1.2 中的公开试验
v1.2 版本增加了针对外部开源安全修复的静态公开试验。这些试验
仅使用公共咨询、PR、提交和维护者文章。它们不会克隆私有
仓库、运行目标项目、执行漏洞利用载荷、调用 LLM 评判、上传私有
源代码或密钥，或在目标项目中创建补丁。
### 示例输出 / 公开试验
使用 [examples/worked/](examples/worked/) 查看静态示例，这些示例展示了预期的审查
输出和误报抑制，而不执行漏洞利用或实时扫描。代表性
示例包括 [后端 authz IDOR](examples/worked/backend-authz-idor.md)、
[终端/PTY 会话所有权](examples/worked/terminal-pty-session-ownership.md)、
[LLM 代理工具过度授权](examples/worked/llm-agent-tool-overpermission.md)、
[智能合约可升级性/会计](examples/worked/smart-contract-upgradeability-accounting.md)、
[CI/CD 密钥日志记录](examples/worked/ci-cd-secret-logging.md) 和
[剧本到静态工具回归](examples/worked/playbook-static-tool-regression.md)。
使用 [examples/public-trials/](examples/public-trials/) 查看仅使用公开来源的试验记录。从
[公开试验方法](examples/public-trials/README.md) 开始，然后查阅
[Spree IDOR 试验](examples/public-trials/v1.2-backend-authz-spree-idor.md)、
[OpenZeppelin UUPS 试验](examples/public-trials/v1.2-smart-contract-openzeppelin-uups.md)、
[LangChain LLMMathChain 试验](examples/public-trials/v1.2-llm-agent-langchain-llmmathchain.md) 和
[v0.7 PR 审查试验](examples/public-trials/v0.7-pr-security-review.md)。这些文档是
静态审查记录，不是扫描器、漏洞利用工作流或远程分析服务。
### 可用技能
| 技能 | 用途 |
| -------------------------------- | -------------------------------------------------------------------------------- |
| `pr-security-review` | 审查 PR 或 diff 的安全回归。 |
| `backend-authz-audit` | 审计后端授权、IDOR、所有权检查和租户隔离。 |
| `terminal-pty-audit` | 审计终端、PTY、Shell 会话和 WebSocket 终端后端。 |
| `ci-cd-supply-chain-audit` | 审计 CI/CD、依赖、包发布、发布和构建产物风险。 |
| `secrets-logging-privacy-audit` | 审计密钥、日志、错误、PII、遥测和隐私风险。 |
| `llm-agent-tooling-audit` | 审计 LLM 代理、工具、MCP、提示注入和数据泄露。 |
| `smart-contract-audit` | 审计 Solidity、Vyper、EVM、DeFi、治理和资金托管风险。 |
| `fix-selected-security-findings` | 仅修复明确选定的发现及测试。 |
| `incident-to-prompt` | 将脱敏事件转化为提示词、检查清单、测试和 AGENTS.md 更新。 |
### 重要文档
- `docs/00-principles.md`：项目原则
- `docs/01-operating-model.md`：审查工作流
- `docs/02-pr-risk-levels.md`：L0-L3 PR 风险模型
- `docs/10-known-limitations.md`：真实的局限性和工具边界
- `docs/11-agent-skill-compatibility.md`：技能命名和兼容性
- `docs/13-evaluation-harness.md`：静态评估覆盖率和评分
- `docs/14-community-release-kit.md`：发布公告和分类材料
- `docs/15-v1-stability-contract.md`：稳定的命令、布局和安全契约
- `docs/16-release-checklist.md`：稳定的发布流程
- [docs/users/](docs/users/)：基于角色的采用指南
- [docs/quick-demo.md](docs/quick-demo.md)：3 分钟 PR 审查演示
- [docs/architecture.md](docs/architecture.md)：通俗语言架构和本地 MCP 流程
- [docs/media/README.md](docs/media/README.md)：未来截图和视频清单
- [docs/launch/x-thread-v2.1.md](docs/launch/x-thread-v2.1.md)：准备发布的启动主题
- `docs/future/`：安全的未来评估和注册表设计
- `docs/workflows/`：文档化的代理工作流
- [templates/adoption/](templates/adoption/)：最小化仓库采用模板
- [examples/static-tool-bridges/](examples/static-tool-bridges/)：仅限本地的防御性静态工具
桥接示例
- [examples/comparisons/](examples/comparisons/)：前后对比示例
- [docs/21-contributor-growth-loop.md](docs/21-contributor-growth-loop.md)：面向模式、控制、试验、示例、标准和模板的
贡献通道
- [docs/digests/](docs/digests/)：每月安全模式摘要记录
- [docs/domain-packs/](docs/domain-packs/)：仅限规划的未来领域包设计
- [docs/22-local-stacked-release-candidate-checklist.md](docs/22-local-stacked-release-candidate-checklist.md)：
本地堆叠发布候选清单
- [docs/org-adoption/](docs/org-adoption/)：组织推广、成熟度、政策、节奏和
检查清单
- [examples/worked/examples/worked/)：示例和误报抑制示例
- [examples/public-trials/](examples/public-trials/)：公开审查试验文章
### 发布状态
- v0.1：公开提示词库、技能、插件包、场景注册表、验证
- v0.2：示例、双语文档、提示词快照
- v0.3：只读本地 MCP 服务器
- v0.4：代理工作流文档和静态评估工具
- v0.5：集成设计和事件模式库
- v0.5.1：自我审查差距弥合、更深度的旗舰提示词、插件资源、局限性、
兼容性说明、示例
- v0.6：完整的优先英文、其次中文的提示词和技能
- v0.7：经过脱敏处理的不可部署演示固定规则、扩展的示例以及基于演示的评估
覆盖
- v0.8：CI 维护、评估覆盖矩阵和评分标准、社区发布工具包以及公开 PR
试验记录
- v0.9：安全的未来评估和静态注册表设计工件
- v1.0：稳定的公开发布、稳定性契约、发布清单和最终的公开使用完善
- v1.1：仅限审计的提示词深度一致性、内容丰富的中文部分以及提示词深度验证
- v1.2：静态公开试验和剧本到静态工具的示例
- v1.2.1：引导入口点、技能/插件兼容性澄清以及 MCP 注册表路径
强化
- v1.2.2：源代码格式强制执行以及本地命令和 GitHub Actions 之间的验证一致性
- v1.3：基于 YAML 的覆盖率、标准映射、阴性对照、事件模式增长和
只读 MCP 知识资源
- v1.4：基于角色的用户指南、采用模板和采用验证
- v1.5：扩展的公开试验语料库、试验索引和场景覆盖验证
- v1.6：针对经过脱敏处理的本地固定规则的静态工具桥接手册
- v1.7：贡献者增长循环、每月摘要模板和摘要验证
- v1.8：仅限规划的未来领域包设计和验证
- v1.9：本地发布候选清单、文档索引和堆栈元数据验证
- v2.0：组织采用剧本、成熟度模型、内部政策、节奏和检查清单
- v2.1：包含 3 分钟演示、架构指南、对比示例和推广的启动 UX 包
清单
## 中文
### 这个项目解决什么问题
普通 AI 代码审查通常看起来很自信，但可能缺少安全证据、夸大严重性，或者在没有审批的情况下建议高风险修复。本项目给 AI 提供了一个有纪律的审查框架：该看什么、需要什么证据、什么情况不要报告、哪些动作必须人工确认，以及如何把已确认问题转成回归测试。
这个剧本不是一个扫描器。它是 AI 辅助安全
审查的可复用操作系统：提示词、技能、只读 MCP 知识资源、示例、公开
试验、阴性对照、标准映射和采用模板。
### 快速理解
- [3 分钟 PR 审查演示](docs/quick-demo.md)：从克隆到一次结构化仅限审计的 PR
审查的最短路径。
- [普通 AI 审查 vs 剧本引导的审查](examples/comparisons/ordinary-ai-review-vs-playbook.md)：使用脱敏后端
授权示例展示前后差异。
- [架构](docs/architecture.md)：用普通语言解释从用户输入到提示词/技能、本地 MCP
注册表、有证据支撑的发现和回归测试的流程。
- [START_HERE.md](START_HERE.md)：按任务选择入口。
- [版本发布](https://github.com/edmund-xl/ai-security-audit-playbook/releases)：版本包和发布
说明。
### 谁适合使用
- 想在正式审查前做安全初筛的开发者。
- 希望统一证据、严重性推理和测试指南的安全审查员。
- 希望给 PR 审查、代理指导和公开试验建立模板的开源维护者。
- 想保持本地优先 AI 审查，同时不上传私有源代码或密钥的初创与企业团队。
- 需要对可升级性、治理、会计和资金托管风险进行人工门禁审查的智能合约团队。
### 谁不适合使用
- 想要漏洞利用框架、漏洞扫描器、托管代码分析服务或自主
修复系统的用户。
- 想把 AI 发现直接当成已确认漏洞、跳过人工审查的团队。
- 需要把私有源代码、密钥、日志或凭据上传到远程服务的流程。
- 需要自动打补丁、自动创建 PR 或自动合并决策的流程。
详细版本历史放在 [CHANGELOG.md](CHANGELOG.md) 和
[ROADMAP.md](ROADMAP.md)。当前 README 更关注项目做什么、如何开始，以及哪些安全边界保持稳定。
### 新用户从这里开始
如果你想从具体任务快速找到对应资产，请先读 [START_HERE.md](START_HERE.md)。它会把 PR 审查、后端
授权审计、终端/PTY 审计、智能合约
审计、本地 MCP 使用、无需安装插件的直接技能使用，以及提示词/技能贡献路径分别指向合适的提示词、技能、MCP 模式和文档。
### 10 分钟落地
如果你想把剧本加到另一个仓库，但不想采用完整项目结构，可以使用
[templates/adoption/](templates/adoption/)。建议先复制
[templates/adoption/AGENTS.md](templates/adoption/AGENTS.md)、
[templates/adoption/PULL_REQUEST_TEMPLATE.md](templates/adoption/PULL_REQUEST_TEMPLATE.md) 和
[templates/adoption/security-review-checklist.md](templates/adoption/security-review-checklist.md)。
然后按团队角色选择指南：[个人开发者](docs/users/for-individual-developers.md)、
[安全审查员](docs/users/for-security-reviewers.md)、
[开源维护者](docs/users/for-open-source-maintainers.md)、
[初创团队](docs/users/for-startup-teams.md)、
[企业安全团队](docs/users/for-enterprise-security-teams.md) 或
[智能合约团队](docs/users/for-smart-contract-teams.md)。这些模板保留同样的仅限审计、不
执行漏洞利用、不自主扫描、不自动合并和不上传私有源代码或密钥的边界。
### 这个项目不是什么
本项目不是漏洞扫描器、漏洞利用框架、托管式代码分析服务、自主修复系统，也不保证代码安全。它不试图替代 Semgrep、CodeQL、Slither、依赖扫描器、密钥
扫描器或人类安全判断。它不上传私有源代码、密钥、日志或凭据；不自动合并；不运行破坏性命令；不执行漏洞利用；不做自主仓库扫描。
### 覆盖范围
- PR 安全审查
- 后端授权、IDOR、所有权检查和租户隔离
- 终端、PTY、Shell 会话和 WebSocket 终端后端
- CI/CD、依赖、发布、构建产物和供应链风险
- 密钥、日志记录、遥测、隐私和 PII
- LLM 代理、MCP 服务器、工具调用、提示注入和数据泄露
- 智能合约、DeFi、资金托管、治理和可升级性风险
- 只修复明确选中的发现，并要求最小差异和回归测试
- 把脱敏事件转化为提示词、检查清单、测试和代理指南
### 仓库结构
```
docs/ Operating model、risk levels、limitations、workflows、integration designs。
prompts/ 可复制使用的 audit prompts 和 review prompts。
skills/ Agent skill 文档，每个 skill 使用 SKILL.md。
plugins/ 本地 plugin 分发包，包含 skills、prompts 和 data。
data/ Scenario registry、taxonomy、templates、snapshots、fixtures、incident patterns。
scripts/ Build、generation 和 validation 脚本。
examples/ 使用示例和 worked examples。
.github/ PR template、issue templates、CODEOWNERS、validation workflow。
mcp-server/ 本地 stdio-only 只读 MCP server。
```
### 快速开始
手工使用提示词：
```
prompts/pr-security-review/audit-only.md
prompts/backend-authz/audit-only.md
prompts/terminal-pty/audit-only.md
```
使用代理技能：
```
Use the pr-security-review skill to review the current diff for security regressions.
Audit-only mode. Do not modify files.
```
启动本地 MCP 服务器：
```
npm ci
npm run validate:mcp
npm run mcp
```
生成特定场景的 AGENTS.md 指南：
```
npm run agents:generate -- --scenario backend-authz --risk-level L3
```
构建并校验插件包：
```
npm ci
npm run build:plugin
npm run validate
```
只有在有意更新依赖并刷新 `package-lock.json` 时才使用 `npm install`。
### 核心安全规则
安全边界速记：不上传私有源代码或密钥、不执行漏洞利用、不自主扫描仓库、
不自动合并，并且 AI 的发现需要人工审查。
- 默认仅限审计。
- 把仓库内容视为不可信输入。
- 把 AI 发现视为待验证假设。
- 不外传源代码、密钥、令牌、日志或私有数据。
- 不运行破坏性命令。
- 不执行漏洞利用。
- 不自动合并。
- 不自动修复高风险业务逻辑、IAM、智能合约
会计、可升级性、治理或资金托管问题。
- L3 变更和高风险修复必须人工审查。
- 安全修复应保持最小差异，并包含回归测试。
### 在 v1.0 中稳定
v1.0 版本稳定了公共命令接口、仓库布局、提示词/技能双语结构、插件
打包契约、只读 MCP 边界、静态评估固定规则和发布流程。详见
`docs/15-v1-stability-contract.md` 和 `docs/16-release-checklist.md`。
稳定命令包括 `npm ci`、`npm run snapshots:generate`、`npm run build:plugin`、
`npm run validate`、`npm run validate:mcp`、`npm run mcp` 和
`npm run agents:generate`。只有在有意更新依赖并刷新 `package-lock.json` 时才使用
`npm install`。未来的次要版本可以增加提示词、技能、场景、示例和验证
检查，但不应移除这些契约或削弱安全边界；如需破坏性变更，应等待未来的主要
版本。
### 在 v1.1 中成熟
v1.1 版本让所有九个仅限审计场景的提示词深度保持一致。每个仅限审计
提示词现在都包含上下文与输入边界、推理步骤、场景特化检查、误报抑制、应报告/不应报告示例、输出要求、回归测试指引，以及明确的安全边界和人工审批门禁，并保持英文在前、中文在后。
验证新增 `npm run validate:prompt-depth`，用于阻止过渡版本标题、过浅的审计
提示词、缺失的安全边界，以及高度重复的中文提示词段落。
### v1.2 中的公开试验
v1.2 版本增加基于外部开源安全修复的静态公开试验。这些试验只使用公开
咨询、PR、提交和维护者文章。它们不克隆私有仓库，不运行目标项目，不执行漏洞利用
载荷，不调用 LLM 评判，不上传私有源代码或密钥，也不在目标项目中创建补丁。
### 示例输出 / 公开试验
使用 [examples/worked/](examples/worked/) 查看静态示例，
了解预期审查输出和误报抑制方式。这些示例不执行漏洞利用，也不进行实时
扫描。代表性示例包括 [后端 authz IDOR](examples/worked/backend-authz-idor.md)、
[终端/PTY 会话所有权](examples/worked/terminal-pty-session-ownership.md)、
[LLM 代理工具过度授权](examples/worked/llm-agent-tool-overpermission.md)、
[智能合约可升级性/会计](examples/worked/smart-contract-upgradeability-accounting.md)、
[CI/CD 密钥日志记录](examples/worked/ci-cd-secret-logging.md) 和
[剧本到静态工具回归](examples/worked/playbook-static-tool-regression.md)。
使用 [examples/public-trials/](examples/public-trials/) 查看只基于公开来源的试验记录。建议先读
[公开试验方法](examples/public-trials/README.md)，再看
[Spree IDOR 试验](examples/public-trials/v1.2-backend-authz-spree-idor.md)、
[OpenZeppelin UUPS 试验](examples/public-trials/v1.2-smart-contract-openzeppelin-uups.md)、
[LangChain LLMMathChain 试验](examples/public-trials/v1.2-llm-agent-langchain-llmmathchain.md) 和
[v0.7 PR 审查试验](examples/public-trials/v0.7-pr-security-review.md)。这些文档是静态审查记录，不是扫描器、漏洞利用
工作流或远程分析服务。
### 可用技能
| 技能 | 用途 |
| -------------------------------- | ------------------------------------------------------------------------ |
| `pr-security-review` | 审查 PR 或 diff 中的安全回归。 |
| `backend-authz-audit` | 审计后端授权、IDOR、所有权检查和租户隔离。 |
| `terminal-pty-audit` | 审计终端、PTY、Shell 会话和 WebSocket 终端后端。 |
| `ci-cd-supply-chain-audit` | 审计 CI/CD、依赖、包发布、发布和构建产物风险。 |
| `secrets-logging-privacy-audit` | 审计密钥、日志、错误、PII、遥测和隐私风险。 |
| `llm-agent-tooling-audit` | 审计 LLM 代理、工具、MCP、提示注入和数据泄露。 |
| `smart-contract-audit` | 审计 Solidity、Vyper、EVM、DeFi、治理和资金托管风险。 |
| `fix-selected-security-findings` | 只修复明确选中的发现，并补充测试。 |
| `incident-to-prompt` | 把脱敏事件转化为提示词、检查清单、测试和 AGENTS.md 更新。 |
### 重要文档
- `docs/00-principles.md`：项目原则
- `docs/01-operating-model.md`：审查工作流
- `docs/02-pr-risk-levels.md`：L0-L3 PR 风险模型
- `docs/10-known-limitations.md`：已知限制和工具边界
- `docs/11-skill-compatibility.md`：技能命名和兼容性
- `docs/13-evaluation-harness.md`：静态评估覆盖率和评分
- `docs/14-community-release-kit.md`：发布公告和分类材料
- `docs/15-v1-stability-contract.md`：稳定命令、布局和安全契约
- `docs/16-release-checklist.md`：稳定发布流程
- [docs/users/](docs/users/)：按角色划分的采用指南
- [docs/quick-demo.md](docs/quick-demo.md)：3 分钟 PR 审查演示
- [docs/architecture.md](docs/architecture.md)：普通语言架构说明和本地 MCP 流程
- [docs/media/README.md](docs/media/README.md)：未来截图和视频清单
- [docs/launch/x-thread-v2.1.md](docs/launch/x-thread-v2.1.md)：可直接发布的启动主题
- `docs/future/`：安全的未来评估和注册表设计
- `docs/workflows/`：代理工作流文档
- [templates/adoption/](templates/adoption/)：最小化仓库采用模板
- [examples/static-tool-bridges/](examples/static-tool-bridges/)：仅限本地的防御性静态工具
桥接示例
- [examples/comparisons/](examples/comparisons/)：前后对比示例
- [docs/21-contributor-growth-loop.md](docs/21-contributor-growth-loop.md)：面向模式、控制、试验、示例、标准和模板的贡献通道
- [docs/digests/](docs/digests/)：每月安全模式摘要记录
- [docs/domain-packs/](docs/domain-packs/)：仅限规划的未来领域包设计
- [docs/22-local-stacked-release-candidate-checklist.md](docs/22-local-stacked-release-candidate-checklist.md)：本地
堆叠发布候选清单
- [docs/org-adoption/](docs/org-adoption/)：组织
推广、成熟度、政策、节奏和检查清单
- [examples/worked/](examples/worked/)：示例和误报抑制示例
- [examples/public-trials/](examples/public-trials/)：公开审查试跑记录
### 发布状态
- v0.1：公开提示词库、技能、插件包、场景注册表、验证
- v0.2：示例、双语文档、提示词快照
- v0.3：只读本地 MCP 服务器
- v0.4：代理工作流文档和静态评估工具
- v0.5：集成设计和事件模式库
- v0.5.1：自我审查差距弥合、加深旗舰提示词、插件
资源、局限性、兼容性说明、示例
- v0.6：所有提示词和技能完成英文在前、中文在后的双语结构
- v0.7：脱敏不可部署演示固定规则、扩展示例和基于演示的评估覆盖
- v0.8：CI 维护、评估覆盖矩阵和评分标准、社区发布
工具包，以及公开 PR 试跑记录
- v0.9：安全的未来评估和静态注册表设计工件
- v1.0：稳定的公开发布、稳定性契约、发布清单和最终的公开使用完善
- v1.1：仅限审计的提示词深度一致性、内容性中文段落和提示词深度验证
- v1.2：静态公开试验和剧本到静态工具的示例
- v1.2.1：引导入口点、技能/插件兼容性澄清和 MCP 注册表路径
强化
- v1.2.2：源代码格式强制执行，以及本地命令和 GitHub Actions 的验证一致性
- v1.3：基于 YAML 的覆盖率、标准映射、阴性对照、事件模式
增长和只读 MCP 知识资源
- v1.4：按角色划分的用户指南、采用模板和采用验证
- v1.5：扩展公开试验语料库、试验索引和场景覆盖验证
- v1.6：面向脱敏本地固定规则的静态工具桥接手册
- v1.7：贡献者增长循环、每月摘要模板和摘要验证
- v1.8：仅限规划的未来领域包设计和验证
- v1.9：本地发布候选清单、文档索引和堆栈元数据验证
- v2.0：组织采用剧本、成熟度模型、内部政策、节奏和检查清单
- v2.1：启动 UX 包，包含 3 分钟演示、架构指南、对比示例和推广
清单
**将 AI 编程代理转变为严谨的、仅限审计的安全审查员。**
AI Security Audit Playbook 是一个本地优先的审查系统，适用于 ChatGPT、Codex、Cursor、Claude 风格的
技能、MCP 客户端和人类审查员。它将通用的 AI 安全审查转化为结构化的
工作流：选择一个场景，使用提示词或技能，保持上下文在本地，要求提供有证据支撑的
发现，抑制无依据的声明，并将确认的问题转化为回归测试指南。
## 英文
### 解决的问题
通用的 AI 代码审查通常听起来很自信，但缺乏安全证据、夸大严重性，或者
在未经批准的情况下建议高风险的修复。本项目为 AI 提供了一个严谨的审查框架：该检查什么、
需要什么证据、何时不应报告、人类必须批准什么，以及如何将已确认的问题转化为回归测试。
该剧本不是一个扫描器。它是 AI 辅助安全审查的可复用操作系统：
提示词、技能、只读 MCP 知识资源、示例、公开试验、阴性对照、标准映射和采用模板。
### 快速开始
- [3 分钟 PR 审查演示](docs/quick-demo.md)：从克隆到结构化的仅限审计的 PR 审查最短路径。
- [普通 AI 审查 vs 剧本引导的审查](examples/comparisons/ordinary-ai-review-vs-playbook.md)：
一个使用经过脱敏处理的后端授权示例进行前后对比的案例。
- [架构](docs/architecture.md)：用通俗语言描述从用户输入到提示词或技能、
本地 MCP 注册表、有证据支撑的发现以及回归测试的流程。
- [START_HERE.md](START_HERE.md)：常见审查任务的任务导向入口。
- [版本发布](https://github.com/edmund-xl/ai-security-audit-playbook/releases)：打包版本和发布说明。
### 适用人群
- 希望在请求审查前获得更好安全初筛的开发者。
- 希望获得一致的证据、严重性推理和测试指南的安全审查员。
- 需要 PR 审查模板、代理指南和公开试验示例的开源维护者。
- 希望在不上传私有源代码或密钥的情况下进行本地优先 AI 审查的初创和企业团队。
- 需要人工把关、有证据支撑的审查，以应对可升级性、治理、
会计和资金托管风险的智能合约团队。
### 不适用人群
- 任何寻找漏洞利用框架、漏洞扫描器、托管代码分析服务或自主修复系统的人。
- 希望将 AI 的发现视为已确认漏洞而无需人工审查的团队。
- 需要将私有源代码、密钥、日志或凭据上传到远程服务的工作流。
- 需要自动打补丁、自动创建 PR 或自动合并决策的工作流。
详细的发布历史记录在 [CHANGELOG.md](CHANGELOG.md) 和 [ROADMAP.md](ROADMAP.md) 中。当前
README 侧重于项目功能、如何开始以及哪些安全边界保持稳定。
### 新手入门？
如果你想要一条从任务到资产的更短路径，请使用 [START_HERE.md](START_HERE.md)。它为
审查者指明了适合 PR 审查、后端授权、终端/PTY、智能合约、本地 MCP 使用、直接技能使用以及提示词或技能贡献的正确提示词、技能、MCP 模式和贡献文档。
### 10 分钟采用
当你想将剧本添加到另一个仓库而不采用完整项目结构时，请使用 [templates/adoption/](templates/adoption/)。从
[templates/adoption/AGENTS.md](templates/adoption/AGENTS.md)、
[templates/adoption/PULL_REQUEST_TEMPLATE.md](templates/adoption/PULL_REQUEST_TEMPLATE.md) 和
[templates/adoption/security-review-checklist.md](templates/adoption/security-review-checklist.md) 开始。
然后选择与团队匹配的角色指南：
[个人开发者](docs/users/for-individual-developers.md)、
[安全审查员](docs/users/for-security-reviewers.md)、
[开源维护者](docs/users/for-open-source-maintainers.md)、
[初创团队](docs/users/for-startup-teams.md)、
[企业安全团队](docs/users/for-enterprise-security-teams.md) 或
[智能合约团队](docs/users/for-smart-contract-teams.md)。这些模板保留了相同的仅限审计、
不执行漏洞利用、不自主扫描、不自动合并、不上传私有源代码或密钥的边界。
### 本项目不是什么
本项目不是漏洞扫描器、漏洞利用框架、托管代码分析服务、自主修复系统，也不保证代码
安全。它不试图取代 Semgrep、CodeQL、Slither、依赖扫描器、密钥扫描器或人类的安全判断。它
不上传私有源代码、密钥、日志或凭据。它不自动合并、不运行破坏性命令、不执行漏洞利用，也不执行自主仓库扫描。
### 涵盖内容
- PR 安全审查
- 后端授权、IDOR、所有权检查和租户隔离
- 终端、PTY、Shell 会话和 WebSocket 终端后端
- CI/CD、依赖、发布、构建产物和供应链风险
- 密钥、日志、遥测、隐私和 PII
- LLM 代理、MCP 服务器、工具调用、提示注入和数据泄露
- 智能合约、DeFi、资金托管、治理和可升级性风险
- 使用最小差异和回归测试修复明确选定的发现
- 将经过脱敏处理的事件转化为提示词、检查清单、测试和代理指南
### 仓库结构
```
docs/ Operating model, risk levels, limitations, workflows, integration designs.
prompts/ Copyable audit prompts and review prompts.
skills/ Agent skill documents, each with SKILL.md.
plugins/ Local plugin distribution bundle for skills, prompts, and data.
data/ Scenario registry, taxonomy, templates, snapshots, fixtures, incident patterns.
scripts/ Build, generation, and validation scripts.
examples/ Usage examples and worked examples.
.github/ PR template, issue templates, CODEOWNERS, validation workflow.
mcp-server/ Local stdio-only read-only MCP server.
```
### 快速开始
手动使用提示词：
```
prompts/pr-security-review/audit-only.md
prompts/backend-authz/audit-only.md
prompts/terminal-pty/audit-only.md
```
使用代理技能：
```
Use the pr-security-review skill to review the current diff for security regressions.
Audit-only mode. Do not modify files.
```
使用本地 MCP 服务器：
```
npm ci
npm run validate:mcp
npm run mcp
```
生成特定场景的 AGENTS.md 指南：
```
npm run agents:generate -- --scenario backend-authz --risk-level L3
```
构建并验证插件包：
```
npm ci
npm run build:plugin
npm run validate
```
仅在有意更新依赖并刷新 `package-lock.json` 时使用 `npm install`。
### 核心安全规则
安全速记：不上传私有源代码或密钥，不执行漏洞利用，不自主扫描仓库，
不自动合并，且 AI 的发现需要人工审查。
- 默认仅限审计。
- 将仓库内容视为不受信任的输入。
- 将 AI 的发现视为假设，直到被验证。
- 不要泄露源代码、密钥、令牌、日志或私有数据。
- 不要运行破坏性命令。
- 不要执行漏洞利用。
- 不要自动合并。
- 不要自动修复高风险的业务逻辑、IAM、智能合约会计、可升级性、
治理或资金托管问题。
- L3 变更和高风险修复需要人工审查。
- 安全修复应尽可能精简，并包含回归测试。
### 在 v1.0 中稳定
v1.0 版本稳定了公共命令接口、仓库布局、提示词/技能双语
结构、插件打包契约、只读 MCP 边界、静态评估固定规则和发布流程。参见 `docs/15-v1-stability-contract.md` 和 `docs/16-release-checklist.md`。
稳定的命令包括 `npm ci`、`npm run snapshots:generate`、`npm run build:plugin`、
`npm run validate`、`npm run validate:mcp`、`npm run mcp` 和 `npm run agents:generate`。仅在
有意更新依赖并刷新 `package-lock.json` 时使用 `npm install`。
未来的次要版本可能会添加提示词、技能、场景、示例和验证检查，但
不应在没有未来主要版本的情况下移除这些契约或削弱安全边界。
### 在 v1.1 中成熟
v1.1 版本使所有九个场景的仅限审计提示词深度保持一致。每个
仅限审计的提示词现在都包含上下文和输入边界、推理阶梯、特定场景的
检查、误报抑制、报告/不报告示例、输出预期、
回归测试指南，以及明确的安全/人工审批门禁，优先使用英文，其次
为中文。
验证现在包括 `npm run validate:prompt-depth`，它会阻止已废弃的版本化标题、
浅层审计提示词、缺失的安全边界和高度重复的中文提示词部分。
### v1.2 中的公开试验
v1.2 版本增加了针对外部开源安全修复的静态公开试验。这些试验
仅使用公共咨询、PR、提交和维护者文章。它们不会克隆私有
仓库、运行目标项目、执行漏洞利用载荷、调用 LLM 评判、上传私有
源代码或密钥，或在目标项目中创建补丁。
### 示例输出 / 公开试验
使用 [examples/worked/](examples/worked/) 查看静态示例，这些示例展示了预期的审查
输出和误报抑制，而不执行漏洞利用或实时扫描。代表性
示例包括 [后端 authz IDOR](examples/worked/backend-authz-idor.md)、
[终端/PTY 会话所有权](examples/worked/terminal-pty-session-ownership.md)、
[LLM 代理工具过度授权](examples/worked/llm-agent-tool-overpermission.md)、
[智能合约可升级性/会计](examples/worked/smart-contract-upgradeability-accounting.md)、
[CI/CD 密钥日志记录](examples/worked/ci-cd-secret-logging.md) 和
[剧本到静态工具回归](examples/worked/playbook-static-tool-regression.md)。
使用 [examples/public-trials/](examples/public-trials/) 查看仅使用公开来源的试验记录。从
[公开试验方法](examples/public-trials/README.md) 开始，然后查阅
[Spree IDOR 试验](examples/public-trials/v1.2-backend-authz-spree-idor.md)、
[OpenZeppelin UUPS 试验](examples/public-trials/v1.2-smart-contract-openzeppelin-uups.md)、
[LangChain LLMMathChain 试验](examples/public-trials/v1.2-llm-agent-langchain-llmmathchain.md) 和
[v0.7 PR 审查试验](examples/public-trials/v0.7-pr-security-review.md)。这些文档是
静态审查记录，不是扫描器、漏洞利用工作流或远程分析服务。
### 可用技能
| 技能 | 用途 |
| -------------------------------- | -------------------------------------------------------------------------------- |
| `pr-security-review` | 审查 PR 或 diff 的安全回归。 |
| `backend-authz-audit` | 审计后端授权、IDOR、所有权检查和租户隔离。 |
| `terminal-pty-audit` | 审计终端、PTY、Shell 会话和 WebSocket 终端后端。 |
| `ci-cd-supply-chain-audit` | 审计 CI/CD、依赖、包发布、发布和构建产物风险。 |
| `secrets-logging-privacy-audit` | 审计密钥、日志、错误、PII、遥测和隐私风险。 |
| `llm-agent-tooling-audit` | 审计 LLM 代理、工具、MCP、提示注入和数据泄露。 |
| `smart-contract-audit` | 审计 Solidity、Vyper、EVM、DeFi、治理和资金托管风险。 |
| `fix-selected-security-findings` | 仅修复明确选定的发现及测试。 |
| `incident-to-prompt` | 将脱敏事件转化为提示词、检查清单、测试和 AGENTS.md 更新。 |
### 重要文档
- `docs/00-principles.md`：项目原则
- `docs/01-operating-model.md`：审查工作流
- `docs/02-pr-risk-levels.md`：L0-L3 PR 风险模型
- `docs/10-known-limitations.md`：真实的局限性和工具边界
- `docs/11-agent-skill-compatibility.md`：技能命名和兼容性
- `docs/13-evaluation-harness.md`：静态评估覆盖率和评分
- `docs/14-community-release-kit.md`：发布公告和分类材料
- `docs/15-v1-stability-contract.md`：稳定的命令、布局和安全契约
- `docs/16-release-checklist.md`：稳定的发布流程
- [docs/users/](docs/users/)：基于角色的采用指南
- [docs/quick-demo.md](docs/quick-demo.md)：3 分钟 PR 审查演示
- [docs/architecture.md](docs/architecture.md)：通俗语言架构和本地 MCP 流程
- [docs/media/README.md](docs/media/README.md)：未来截图和视频清单
- [docs/launch/x-thread-v2.1.md](docs/launch/x-thread-v2.1.md)：准备发布的启动主题
- `docs/future/`：安全的未来评估和注册表设计
- `docs/workflows/`：文档化的代理工作流
- [templates/adoption/](templates/adoption/)：最小化仓库采用模板
- [examples/static-tool-bridges/](examples/static-tool-bridges/)：仅限本地的防御性静态工具
桥接示例
- [examples/comparisons/](examples/comparisons/)：前后对比示例
- [docs/21-contributor-growth-loop.md](docs/21-contributor-growth-loop.md)：面向模式、控制、试验、示例、标准和模板的
贡献通道
- [docs/digests/](docs/digests/)：每月安全模式摘要记录
- [docs/domain-packs/](docs/domain-packs/)：仅限规划的未来领域包设计
- [docs/22-local-stacked-release-candidate-checklist.md](docs/22-local-stacked-release-candidate-checklist.md)：
本地堆叠发布候选清单
- [docs/org-adoption/](docs/org-adoption/)：组织推广、成熟度、政策、节奏和
检查清单
- [examples/worked/examples/worked/)：示例和误报抑制示例
- [examples/public-trials/](examples/public-trials/)：公开审查试验文章
### 发布状态
- v0.1：公开提示词库、技能、插件包、场景注册表、验证
- v0.2：示例、双语文档、提示词快照
- v0.3：只读本地 MCP 服务器
- v0.4：代理工作流文档和静态评估工具
- v0.5：集成设计和事件模式库
- v0.5.1：自我审查差距弥合、更深度的旗舰提示词、插件资源、局限性、
兼容性说明、示例
- v0.6：完整的优先英文、其次中文的提示词和技能
- v0.7：经过脱敏处理的不可部署演示固定规则、扩展的示例以及基于演示的评估
覆盖
- v0.8：CI 维护、评估覆盖矩阵和评分标准、社区发布工具包以及公开 PR
试验记录
- v0.9：安全的未来评估和静态注册表设计工件
- v1.0：稳定的公开发布、稳定性契约、发布清单和最终的公开使用完善
- v1.1：仅限审计的提示词深度一致性、内容丰富的中文部分以及提示词深度验证
- v1.2：静态公开试验和剧本到静态工具的示例
- v1.2.1：引导入口点、技能/插件兼容性澄清以及 MCP 注册表路径
强化
- v1.2.2：源代码格式强制执行以及本地命令和 GitHub Actions 之间的验证一致性
- v1.3：基于 YAML 的覆盖率、标准映射、阴性对照、事件模式增长和
只读 MCP 知识资源
- v1.4：基于角色的用户指南、采用模板和采用验证
- v1.5：扩展的公开试验语料库、试验索引和场景覆盖验证
- v1.6：针对经过脱敏处理的本地固定规则的静态工具桥接手册
- v1.7：贡献者增长循环、每月摘要模板和摘要验证
- v1.8：仅限规划的未来领域包设计和验证
- v1.9：本地发布候选清单、文档索引和堆栈元数据验证
- v2.0：组织采用剧本、成熟度模型、内部政策、节奏和检查清单
- v2.1：包含 3 分钟演示、架构指南、对比示例和推广的启动 UX 包
清单
## 中文
### 这个项目解决什么问题
普通 AI 代码审查通常看起来很自信，但可能缺少安全证据、夸大严重性，或者在没有审批的情况下建议高风险修复。本项目给 AI 提供了一个有纪律的审查框架：该看什么、需要什么证据、什么情况不要报告、哪些动作必须人工确认，以及如何把已确认问题转成回归测试。
这个剧本不是一个扫描器。它是 AI 辅助安全
审查的可复用操作系统：提示词、技能、只读 MCP 知识资源、示例、公开
试验、阴性对照、标准映射和采用模板。
### 快速理解
- [3 分钟 PR 审查演示](docs/quick-demo.md)：从克隆到一次结构化仅限审计的 PR
审查的最短路径。
- [普通 AI 审查 vs 剧本引导的审查](examples/comparisons/ordinary-ai-review-vs-playbook.md)：使用脱敏后端
授权示例展示前后差异。
- [架构](docs/architecture.md)：用普通语言解释从用户输入到提示词/技能、本地 MCP
注册表、有证据支撑的发现和回归测试的流程。
- [START_HERE.md](START_HERE.md)：按任务选择入口。
- [版本发布](https://github.com/edmund-xl/ai-security-audit-playbook/releases)：版本包和发布
说明。
### 谁适合使用
- 想在正式审查前做安全初筛的开发者。
- 希望统一证据、严重性推理和测试指南的安全审查员。
- 希望给 PR 审查、代理指导和公开试验建立模板的开源维护者。
- 想保持本地优先 AI 审查，同时不上传私有源代码或密钥的初创与企业团队。
- 需要对可升级性、治理、会计和资金托管风险进行人工门禁审查的智能合约团队。
### 谁不适合使用
- 想要漏洞利用框架、漏洞扫描器、托管代码分析服务或自主
修复系统的用户。
- 想把 AI 发现直接当成已确认漏洞、跳过人工审查的团队。
- 需要把私有源代码、密钥、日志或凭据上传到远程服务的流程。
- 需要自动打补丁、自动创建 PR 或自动合并决策的流程。
详细版本历史放在 [CHANGELOG.md](CHANGELOG.md) 和
[ROADMAP.md](ROADMAP.md)。当前 README 更关注项目做什么、如何开始，以及哪些安全边界保持稳定。
### 新用户从这里开始
如果你想从具体任务快速找到对应资产，请先读 [START_HERE.md](START_HERE.md)。它会把 PR 审查、后端
授权审计、终端/PTY 审计、智能合约
审计、本地 MCP 使用、无需安装插件的直接技能使用，以及提示词/技能贡献路径分别指向合适的提示词、技能、MCP 模式和文档。
### 10 分钟落地
如果你想把剧本加到另一个仓库，但不想采用完整项目结构，可以使用
[templates/adoption/](templates/adoption/)。建议先复制
[templates/adoption/AGENTS.md](templates/adoption/AGENTS.md)、
[templates/adoption/PULL_REQUEST_TEMPLATE.md](templates/adoption/PULL_REQUEST_TEMPLATE.md) 和
[templates/adoption/security-review-checklist.md](templates/adoption/security-review-checklist.md)。
然后按团队角色选择指南：[个人开发者](docs/users/for-individual-developers.md)、
[安全审查员](docs/users/for-security-reviewers.md)、
[开源维护者](docs/users/for-open-source-maintainers.md)、
[初创团队](docs/users/for-startup-teams.md)、
[企业安全团队](docs/users/for-enterprise-security-teams.md) 或
[智能合约团队](docs/users/for-smart-contract-teams.md)。这些模板保留同样的仅限审计、不
执行漏洞利用、不自主扫描、不自动合并和不上传私有源代码或密钥的边界。
### 这个项目不是什么
本项目不是漏洞扫描器、漏洞利用框架、托管式代码分析服务、自主修复系统，也不保证代码安全。它不试图替代 Semgrep、CodeQL、Slither、依赖扫描器、密钥
扫描器或人类安全判断。它不上传私有源代码、密钥、日志或凭据；不自动合并；不运行破坏性命令；不执行漏洞利用；不做自主仓库扫描。
### 覆盖范围
- PR 安全审查
- 后端授权、IDOR、所有权检查和租户隔离
- 终端、PTY、Shell 会话和 WebSocket 终端后端
- CI/CD、依赖、发布、构建产物和供应链风险
- 密钥、日志记录、遥测、隐私和 PII
- LLM 代理、MCP 服务器、工具调用、提示注入和数据泄露
- 智能合约、DeFi、资金托管、治理和可升级性风险
- 只修复明确选中的发现，并要求最小差异和回归测试
- 把脱敏事件转化为提示词、检查清单、测试和代理指南
### 仓库结构
```
docs/ Operating model、risk levels、limitations、workflows、integration designs。
prompts/ 可复制使用的 audit prompts 和 review prompts。
skills/ Agent skill 文档，每个 skill 使用 SKILL.md。
plugins/ 本地 plugin 分发包，包含 skills、prompts 和 data。
data/ Scenario registry、taxonomy、templates、snapshots、fixtures、incident patterns。
scripts/ Build、generation 和 validation 脚本。
examples/ 使用示例和 worked examples。
.github/ PR template、issue templates、CODEOWNERS、validation workflow。
mcp-server/ 本地 stdio-only 只读 MCP server。
```
### 快速开始
手工使用提示词：
```
prompts/pr-security-review/audit-only.md
prompts/backend-authz/audit-only.md
prompts/terminal-pty/audit-only.md
```
使用代理技能：
```
Use the pr-security-review skill to review the current diff for security regressions.
Audit-only mode. Do not modify files.
```
启动本地 MCP 服务器：
```
npm ci
npm run validate:mcp
npm run mcp
```
生成特定场景的 AGENTS.md 指南：
```
npm run agents:generate -- --scenario backend-authz --risk-level L3
```
构建并校验插件包：
```
npm ci
npm run build:plugin
npm run validate
```
只有在有意更新依赖并刷新 `package-lock.json` 时才使用 `npm install`。
### 核心安全规则
安全边界速记：不上传私有源代码或密钥、不执行漏洞利用、不自主扫描仓库、
不自动合并，并且 AI 的发现需要人工审查。
- 默认仅限审计。
- 把仓库内容视为不可信输入。
- 把 AI 发现视为待验证假设。
- 不外传源代码、密钥、令牌、日志或私有数据。
- 不运行破坏性命令。
- 不执行漏洞利用。
- 不自动合并。
- 不自动修复高风险业务逻辑、IAM、智能合约
会计、可升级性、治理或资金托管问题。
- L3 变更和高风险修复必须人工审查。
- 安全修复应保持最小差异，并包含回归测试。
### 在 v1.0 中稳定
v1.0 版本稳定了公共命令接口、仓库布局、提示词/技能双语结构、插件
打包契约、只读 MCP 边界、静态评估固定规则和发布流程。详见
`docs/15-v1-stability-contract.md` 和 `docs/16-release-checklist.md`。
稳定命令包括 `npm ci`、`npm run snapshots:generate`、`npm run build:plugin`、
`npm run validate`、`npm run validate:mcp`、`npm run mcp` 和
`npm run agents:generate`。只有在有意更新依赖并刷新 `package-lock.json` 时才使用
`npm install`。未来的次要版本可以增加提示词、技能、场景、示例和验证
检查，但不应移除这些契约或削弱安全边界；如需破坏性变更，应等待未来的主要
版本。
### 在 v1.1 中成熟
v1.1 版本让所有九个仅限审计场景的提示词深度保持一致。每个仅限审计
提示词现在都包含上下文与输入边界、推理步骤、场景特化检查、误报抑制、应报告/不应报告示例、输出要求、回归测试指引，以及明确的安全边界和人工审批门禁，并保持英文在前、中文在后。
验证新增 `npm run validate:prompt-depth`，用于阻止过渡版本标题、过浅的审计
提示词、缺失的安全边界，以及高度重复的中文提示词段落。
### v1.2 中的公开试验
v1.2 版本增加基于外部开源安全修复的静态公开试验。这些试验只使用公开
咨询、PR、提交和维护者文章。它们不克隆私有仓库，不运行目标项目，不执行漏洞利用
载荷，不调用 LLM 评判，不上传私有源代码或密钥，也不在目标项目中创建补丁。
### 示例输出 / 公开试验
使用 [examples/worked/](examples/worked/) 查看静态示例，
了解预期审查输出和误报抑制方式。这些示例不执行漏洞利用，也不进行实时
扫描。代表性示例包括 [后端 authz IDOR](examples/worked/backend-authz-idor.md)、
[终端/PTY 会话所有权](examples/worked/terminal-pty-session-ownership.md)、
[LLM 代理工具过度授权](examples/worked/llm-agent-tool-overpermission.md)、
[智能合约可升级性/会计](examples/worked/smart-contract-upgradeability-accounting.md)、
[CI/CD 密钥日志记录](examples/worked/ci-cd-secret-logging.md) 和
[剧本到静态工具回归](examples/worked/playbook-static-tool-regression.md)。
使用 [examples/public-trials/](examples/public-trials/) 查看只基于公开来源的试验记录。建议先读
[公开试验方法](examples/public-trials/README.md)，再看
[Spree IDOR 试验](examples/public-trials/v1.2-backend-authz-spree-idor.md)、
[OpenZeppelin UUPS 试验](examples/public-trials/v1.2-smart-contract-openzeppelin-uups.md)、
[LangChain LLMMathChain 试验](examples/public-trials/v1.2-llm-agent-langchain-llmmathchain.md) 和
[v0.7 PR 审查试验](examples/public-trials/v0.7-pr-security-review.md)。这些文档是静态审查记录，不是扫描器、漏洞利用
工作流或远程分析服务。
### 可用技能
| 技能 | 用途 |
| -------------------------------- | ------------------------------------------------------------------------ |
| `pr-security-review` | 审查 PR 或 diff 中的安全回归。 |
| `backend-authz-audit` | 审计后端授权、IDOR、所有权检查和租户隔离。 |
| `terminal-pty-audit` | 审计终端、PTY、Shell 会话和 WebSocket 终端后端。 |
| `ci-cd-supply-chain-audit` | 审计 CI/CD、依赖、包发布、发布和构建产物风险。 |
| `secrets-logging-privacy-audit` | 审计密钥、日志、错误、PII、遥测和隐私风险。 |
| `llm-agent-tooling-audit` | 审计 LLM 代理、工具、MCP、提示注入和数据泄露。 |
| `smart-contract-audit` | 审计 Solidity、Vyper、EVM、DeFi、治理和资金托管风险。 |
| `fix-selected-security-findings` | 只修复明确选中的发现，并补充测试。 |
| `incident-to-prompt` | 把脱敏事件转化为提示词、检查清单、测试和 AGENTS.md 更新。 |
### 重要文档
- `docs/00-principles.md`：项目原则
- `docs/01-operating-model.md`：审查工作流
- `docs/02-pr-risk-levels.md`：L0-L3 PR 风险模型
- `docs/10-known-limitations.md`：已知限制和工具边界
- `docs/11-skill-compatibility.md`：技能命名和兼容性
- `docs/13-evaluation-harness.md`：静态评估覆盖率和评分
- `docs/14-community-release-kit.md`：发布公告和分类材料
- `docs/15-v1-stability-contract.md`：稳定命令、布局和安全契约
- `docs/16-release-checklist.md`：稳定发布流程
- [docs/users/](docs/users/)：按角色划分的采用指南
- [docs/quick-demo.md](docs/quick-demo.md)：3 分钟 PR 审查演示
- [docs/architecture.md](docs/architecture.md)：普通语言架构说明和本地 MCP 流程
- [docs/media/README.md](docs/media/README.md)：未来截图和视频清单
- [docs/launch/x-thread-v2.1.md](docs/launch/x-thread-v2.1.md)：可直接发布的启动主题
- `docs/future/`：安全的未来评估和注册表设计
- `docs/workflows/`：代理工作流文档
- [templates/adoption/](templates/adoption/)：最小化仓库采用模板
- [examples/static-tool-bridges/](examples/static-tool-bridges/)：仅限本地的防御性静态工具
桥接示例
- [examples/comparisons/](examples/comparisons/)：前后对比示例
- [docs/21-contributor-growth-loop.md](docs/21-contributor-growth-loop.md)：面向模式、控制、试验、示例、标准和模板的贡献通道
- [docs/digests/](docs/digests/)：每月安全模式摘要记录
- [docs/domain-packs/](docs/domain-packs/)：仅限规划的未来领域包设计
- [docs/22-local-stacked-release-candidate-checklist.md](docs/22-local-stacked-release-candidate-checklist.md)：本地
堆叠发布候选清单
- [docs/org-adoption/](docs/org-adoption/)：组织
推广、成熟度、政策、节奏和检查清单
- [examples/worked/](examples/worked/)：示例和误报抑制示例
- [examples/public-trials/](examples/public-trials/)：公开审查试跑记录
### 发布状态
- v0.1：公开提示词库、技能、插件包、场景注册表、验证
- v0.2：示例、双语文档、提示词快照
- v0.3：只读本地 MCP 服务器
- v0.4：代理工作流文档和静态评估工具
- v0.5：集成设计和事件模式库
- v0.5.1：自我审查差距弥合、加深旗舰提示词、插件
资源、局限性、兼容性说明、示例
- v0.6：所有提示词和技能完成英文在前、中文在后的双语结构
- v0.7：脱敏不可部署演示固定规则、扩展示例和基于演示的评估覆盖
- v0.8：CI 维护、评估覆盖矩阵和评分标准、社区发布
工具包，以及公开 PR 试跑记录
- v0.9：安全的未来评估和静态注册表设计工件
- v1.0：稳定的公开发布、稳定性契约、发布清单和最终的公开使用完善
- v1.1：仅限审计的提示词深度一致性、内容性中文段落和提示词深度验证
- v1.2：静态公开试验和剧本到静态工具的示例
- v1.2.1：引导入口点、技能/插件兼容性澄清和 MCP 注册表路径
强化
- v1.2.2：源代码格式强制执行，以及本地命令和 GitHub Actions 的验证一致性
- v1.3：基于 YAML 的覆盖率、标准映射、阴性对照、事件模式
增长和只读 MCP 知识资源
- v1.4：按角色划分的用户指南、采用模板和采用验证
- v1.5：扩展公开试验语料库、试验索引和场景覆盖验证
- v1.6：面向脱敏本地固定规则的静态工具桥接手册
- v1.7：贡献者增长循环、每月摘要模板和摘要验证
- v1.8：仅限规划的未来领域包设计和验证
- v1.9：本地发布候选清单、文档索引和堆栈元数据验证
- v2.0：组织采用剧本、成熟度模型、内部政策、节奏和检查清单
- v2.1：启动 UX 包，包含 3 分钟演示、架构指南、对比示例和推广
清单标签：AI代码审查, AI安全审计, AI编程助手, ChatGPT, Claude, Codex, Cursor, CVE检测, DevSecOps, MCP客户端, MITM代理, Promptflow, Ruby, TLS抓取, 上游代理, 人工智能, 代码安全审查, 代码审查工具, 回归测试, 安全合规, 安全基线, 安全审查框架, 安全策略, 提示词设计, 教学环境, 暗色界面, 本地优先, 用户模式Hook绕过, 知识库, 研发效能, 网络代理, 自定义脚本, 证据驱动, 软件安全, 防御加固