johndfowler/deepsec-skill
GitHub: johndfowler/deepsec-skill
为 AI 编程智能体提供运行 Vercel deepsec 漏洞扫描器的标准化技能包，将 OWASP、NIST 等行业安全规范融入防御性安全审查的完整工作流。
Stars: 0 | Forks: 0
# deepsec-skill：防御性 OpSec 操作标准的主页
一个 [智能体技能](https://skills.sh/)，用于教授 AI 编程智能体（Claude Code、Codex、Cursor、OpenCode 等）如何在 **面向 Agentic Security Review 的防御性 OpSec 操作标准** 下运行 [Vercel 的 deepsec](https://github.com/vercel-labs/deepsec)：五条规则，四个模板，一个标准主干，采用 MIT 许可证。
- **标准：** [https://www.deepsec-skill.dev/standard.md](https://www.deepsec-skill.dev/standard.md)（纯 Markdown，开放 CORS，可通过锚点深度链接任意规则）
- **技能：** [https://www.deepsec-skill.dev/SKILL.md](https://www.deepsec-skill.dev/SKILL.md)（同样是纯 Markdown，同样开放 CORS）
- **方法论 + 参考索引：** [/methodology](https://www.deepsec-skill.dev/methodology) 和 [/references.json](https://www.deepsec-skill.dev/references.json)。标准、智能体技能和示例中的每一处引用都通过 [Exa](https://exa.ai) 搜索进行了验证，并附有 `verified_on` 时间戳记录
- **示例（操作范例）：** [/specimens/stablecoin.md](https://www.deepsec-skill.dev/specimens/stablecoin.md)。71 个来源的语料库，8/8 最高优先级的声明均通过 Exa 进行了独立交叉验证
- **网站：** [https://www.deepsec-skill.dev/](https://www.deepsec-skill.dev/)
原则上与工具无关；首个载体是 `deepsec`。
该技能映射了安全社区已在使用的各项标准：
[OWASP ASVS 5.0](https://owasp.org/www-project-application-security-verification-standard/)、
[OWASP WSTG v4.2](https://owasp.org/www-project-web-security-testing-guide/v42/)、
[OWASP Threat Modeling Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html)、
[NIST SP 800-218 (SSDF v1.1)](https://csrc.nist.gov/Projects/SSDF) 和
[SP 800-218A (SSDF for generative AI)](https://csrc.nist.gov/pubs/sp/800/218/a/final)、
[NIST AI Risk Management Framework (AI RMF 1.0, NIST AI 100-1)](https://www.nist.gov/itl/ai-risk-management-framework) 及其 [Generative AI Profile (AI 600-1)](https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial)、
[CISA Secure by Design](https://www.cisa.gov/securebydesign/pledge)([350+ 签署方](https://www.cisa.gov/securebydesign/pledge/secure-design-pledge-signers)) 和 [2025 CISA SBOM Minimum Elements](https://www.cisa.gov/resources-tools/resources/2025-minimum-elements-software-bill-materials-sbom)、
[SLSA v1.2](https://slsa.dev/spec/v1.2/)、
[OpenSSF Scorecard](https://github.com/ossf/scorecard)、
[Sigstore / Cosign](https://docs.sigstore.dev/)、
[FIRST CVSS v4.0](https://www.first.org/cvss/v4.0/specification-document)、
[OWASP GenAI Security Project](https://genai.owasp.org/) 体系（包括 [LLM Top 10 2025](https://genai.owasp.org/llm-top-10/) 和 [Agentic Security Initiative](https://genai.owasp.org/initiatives/agentic-security-initiative/)）、
[ISO/IEC 29147 / 30111 / TR 5895](https://iso.org/standard/72311.html) 协调漏洞披露系列，以及 [SEC Reg S-K Item 106 / Form 8-K Item 1.05](https://www.sec.gov/news/press-release/2023-139)。
## 运行数据
来自 Vercel 公告中安全社区将加以考量的两个事实：
- **误报率 ≈ 10–20%**（在默认设置下），可通过 `revalidate` 进一步降低。
- **规模。** “在 Vercel 代码库上的扫描通常可以通过 Vercel Sandbox 扇出扩展至 1,000+ 个并发沙箱。”
两者均引用自[介绍性博客文章](https://vercel.com/blog/introducing-deepsec-find-and-fix-vulnerabilities-in-your-code-base)。
上游 README 明确说明了操作者信任模型：*“将 `deepsec` 视为在其运行环境中拥有完整 shell 访问权限的编程智能体。”* 本技能中存在授权与范围确认步骤，正是为了应对这一警告。
## 技能涵盖内容
- 在产生任何 AI 费用之前的授权和范围确认
- 对目标进行威胁草图分析（接口、身份验证边界、信任边界、构建/发布面）
- `init` 和 `.gitignore` 设置
- 编写紧凑、高信号量的 `INFO.md`（50 到 100 行，附带各部分评分标准）
- 两阶段 `scan`（免费正则表达式）然后 `process`（付费 AI）工作流，带有成本护栏，防止您意外在 monorepo 上花费数百美元
- 用于剔除误报的 `revalidate`
- 纯防御性证据包（不包含 exploit payload，不包含绕过方法）
- 针对依赖项、CI、签名和发布关卡的供应链视角
- 具备治理意识的风险摘要，提供实质性输入，而非试图做出法律裁决
- 分流 / 修复循环与运行收尾
- 何时添加自定义 matchers（何时不添加）
## 安装
```
npx skills add johndfowler/deepsec-skill
```
或按智能体安装：
```
npx skills add johndfowler/deepsec-skill -a claude-code
npx skills add johndfowler/deepsec-skill -a codex
```
## 激活条件
当用户要求“扫描漏洞”、“运行 deepsec”、“对我的代码进行安全审计”，或链接到 deepsec 博客文章或仓库时，该技能会自动激活。有关完整描述，请参见 `deepsec/SKILL.md`。
## 决策
承载设计的决策记录在 [`docs/decisions/`](./docs/decisions/) 中的 ADR 内：许可证、CLAUDE.md 吸收阻力、严重性层级、Exa 作为推荐而非强制、以及五层来源分类。每个 ADR 都记录了 *为什么* ——背景、考虑过的替代方案以及后果。这是代码和已发布构件仅仅展示的 *是什么* 所无法体现的。
[](https://skills.sh/) [](https://github.com/johndfowler/deepsec-skill) [](https://www.deepsec-skill.dev/)
## 许可证
MIT
标签：AI安全合规, AI编码助手, AI风险管理, Claude Code, Cursor, LLM工具, MITM代理, NIST SSDF, OpenAI Codex, SAST, Vercel deepsec, Web安全, 加密, 后端开发, 威胁建模, 安全技能, 智能体安全, 漏洞扫描器, 盲注攻击, 蓝队分析, 防御加固, 防御性操作标准, 静态应用安全测试