企业安全

GRT Agent Skills：面向 Growatt 团队的 Agent Skill 同步与单源部署方案

EugeneJian/grt-agent-skills · Growatt 团队 Agent Skills（SSOT：~/.agents/skills）：feishu-nav 工作导航 · sql 内网报表库只读查询 · feishu-lark 飞书操作；适配 pi/Claude Code/Codex

该项目以 ~/.agents/skills 作为团队共享 Agent Skill 的唯一真源（SSOT），通过 Git 仓库同步并维护 feishu-nav 工作导航、sql 内网报表库只读查询、feishu-lark 飞书操作、shipment-maintenance 出货 Excel 增量维护、ecology 系统选型入口等 skill，并提供符号链接预检与拓扑审计脚本，适配 Claude Code、Codex、pi 等 Agent 工具。仓库还说明了多机部署、重命名迁移、数据脱敏与防凭据入库的维护流程，面向 Growatt 团队内部分发。

漏洞赏金如何磨砺一位研究员的安全技能

GitHub 漏洞赏金团队在网络安全意识月采访了研究员 @r31n。他专门研究 GitHub Enterprise Server，多次发现高危问题，报告里都附带可用的概念验证和清晰的复现步骤，让工程团队能更快定位并修复。他说自己偏爱把几个看似无害的小问题串成完整攻击链，比如一个开放重定向配上会跟随跳转的 SSRF。日常学习靠安全博客、漏洞分析和会议演讲，但真正掌握要靠亲手复现。他认为 AI 降低了入门门槛，也确实是效率放大器，但决定研究质量的是验证和真实影响，而不是工具。

AI 模型风险取决于模型能触及什么

安全公司 Snyk 扫描了上千个企业环境中的 AI 模型，发现近一半环境引用了可能在某种攻击下得分达到严重级别的模型。但作者强调，光看模型分数不够：同一个模型，如果只用来总结会议记录，和用来查询客户数据、触发业务流程，出事的后果完全不同。所以团队应先确认模型是否真的在运行、它能访问哪些数据和工具，再针对具体风险选择换模型或加访问限制、人工审批等控制措施。这项研究来自 Snyk 报告，其中模型分数基于模拟攻击测试，并不代表真实入侵已经发生。