WorkBuddy技能评测 #248 | 安全审计与模糊测试：44 条，Anthropic 官方的安全工具链
基本信息
- 组内条数：44 条，热度 2,158 – 2,330
- 主体来源：Anthropic 的 security skills 集合（codeql、semgrep、AFL++、libafl、ossfuzz、atheris、cargo-fuzz、address-sanitizer 等），热度统一 2,183
- 代表技能：codeql（污点追踪与数据流分析）、semgrep（快速模式匹配扫描）、sharp-edges（识别易错 API 与危险配置）、insecure-defaults（检测硬编码密钥/弱认证）、aflpp / libafl / cargo-fuzz / atheris（各语言模糊测试）、harness-writing（写 fuzz harness）、coverage-analysis、algorand-vulnerability-scanner、cairo-vulnerability-scanner
- 覆盖：静态分析、动态模糊测试、智能合约审计三条线齐全
它解决了什么痛点
安全工具的通病是「会用的人不需要，需要的人不会用」。CodeQL 的查询语言、AFL++ 的编译参数、fuzz harness 怎么写 —— 每一个都有陡峭的学习曲线。这 44 条做的不是替代工具，而是把「什么场景该用哪个工具、参数怎么给」这一层知识固化下来。
最有价值的其实是 harness-writing 和 coverage-analysis 这两条：它们讲的是「模糊测试跑不出东西，问题往往不在 fuzzer，在 harness 写错了」。这个判断力比会用工具本身重要得多。
对我有没有用（技术 / 自媒体 / AI / 读书）
技术：对你偏重。除非你在做安全相关的工作，这 44 条里能日常用的是 codeql 和 semgrep 两条 —— 给自己的项目做一次静态扫描，成本低收益明确。insecure-defaults 也值得过一遍，它列的那些「为了跑起来先关掉认证」的模式，几乎所有项目都犯过。自媒体：中等，「我给我的开源项目跑了 5 个安全扫描，发现了什么」是个好选题。AI：弱。读书：无。
典型场景
你有一个跑了两年的个人项目，想看看有没有明显漏洞。做法：先用 semgrep 扫一遍（快，几分钟），再用 insecure-defaults 的清单人工核对配置（密钥有没有硬编码、默认密码改没改、CORS 是不是全放开）。成果：通常能在半小时内找到 2–5 个真问题，其中至少一个是「当时为了调试临时改的，忘了改回去」。
一句话结论
专业安全团队的整套方法论。个人用户拿 semgrep + insecure-defaults 两条就够，剩下的等你有需要再来。
📊 完整对比数据见在线总表：WorkBuddy 技能市场全量调研总表（腾讯文档）
发表评论: