AI 资源库 · 已整理 8 项
查看与安全审计相关的 AI 资讯、工具、Skill、工作流和开源项目。
Frun1753/claude-codecraft-toolkit · 🚀 Master Claude Code Skills 2026: AI-Powered PR Reviews & Security Audits
该项目定位为面向开发团队的代码质量保障框架，通过接入 Claude API 和 OpenAI API，对代码语义、项目上下文与架构模式进行分析，提供上下文感知的代码审查、漏洞检测和依赖治理，并可通过命令行、CI/CD 流水线或独立服务调用。README 提到支持 30 多种编程语言、多模型切换、生成 Markdown 报告与 PR 评论、发送 Slack/Email 告警，并给出 Docker 部署、GitHub Actions 集成和自建技能等方式。
Jihadyip286/nanostack · Turn your AI agent into a team that plans, reviews, tests, audits, and ships software in one sprint
nanostack 提供一组面向完整工程工作流的 AI 编码辅助技能，覆盖任务拆解与规划、代码编写与修改、代码评审、常见安全隐患审计，以及各步骤之间的稳定衔接，帮助用户在一个流程内完成从计划到交付的编码工作。README 主要说明其在 Windows 上的下载、安装与首次使用方式，并给出配置 AI 服务或密钥的初步提示。
一位安全从业者发现，公司员工早就在用各种AI工具干活了，但IT和安全团队根本不知道他们用了哪些工具、接触了哪些数据。问题在于，很多企业只会发文件说“AI该怎么用”，却没有提供一条方便又安全的实际使用路径，结果员工干脆自己找工具，风险反而更大。作者建议安全团队换个思路：先摸清AI在实际中怎么用、能碰哪些数据、能执行什么操作，然后为开发者提供经过审核的组件和隔离环境，把安全做成好用的默认选项，而不是事后审批的关卡。这样企业既能跟上AI落地速度，又不至于让每个新工具变成新的风险。
提供的材料未提及具体可用工具。
欧盟《网络弹性法案》（CRA）常被当作政策或报告问题来讨论，但对于开发数字产品的公司来说，它真正的落点在代码层面：合并请求、构建流水线、发布审批、依赖记录和测试套件里。原因是，如果公司连“哪些版本受影响、哪个组件引入了暴露、安全控制是否被改过、发布能否复现、修复是否真的生效”这些基本工程问题都答不上来，就不可能可靠地报告被利用的漏洞或严重事件。文章建议把安全控制分为四个成熟度（无证据、临时、标准、强制），用七个代码库问题来检查差距，比如安全默认值、敏感变更审查、发布溯源、合并前检查、严重问题能否阻断发布等。对读者的用处是：与其最后临时抱佛脚做合规，不如把可重复的安全控制嵌入软件生命周期，既降低风险，也为 CRA 报告留下证据。需要注意的是，文中提到的日期是：自今年 9 月 11 日起，范围内厂商必须通过欧盟流程报告已被主动利用的漏洞和严重事件；更广泛的 CRA 义务从 2027 年 12 月开始适用。文章未说明具体公司或产品案例，也未给出完整合规清单。
这篇文章用日常语言对比了四种应用安全扫描工具，用来回答三个不同问题：代码写得安全吗（SAST）、依赖库有已知漏洞吗（SCA）、运行中的应用能被攻击吗（DAST），而 IAST 则从程序内部观察数据流动。文章说大多数安全团队不会只跑一种扫描，而是在开发流程的不同阶段组合使用：SAST 和 SCA 可在代码提交、PR 等早期阶段运行，DAST 和 IAST 需要应用真正跑起来，通常放在 QA、预发布环境。它的原则是越早发现、修复越便宜。对开发团队来说，这提供了一张按阶段选工具的决策地图；但文章只是概念性对比，没有给出具体工具名称、价格或发布状态。
提供的材料未提及具体可用工具。
这篇文章介绍了 IAST 这种安全测试方法。以往检查应用漏洞，要么是静态扫描代码（SAST），要么从外面发攻击请求试探（DAST），前者容易误报，后者看不到内部细节。IAST 的做法是在应用运行时往代码里装监控探针，跟踪数据从输入到数据库查询的流动，能在发现 SQL 注入、XSS 等问题时给出具体代码位置。它的代价是部署更麻烦、有一定性能开销，在微服务环境里维护成本更高，而且必须在应用跑起来之后才能用。
提供的材料未提及具体可用工具。
这篇文章讲的是：员工离职或调岗后，云资源上的“负责人”标签常常没人更新，导致过了很久还有人审批自己早就不管的系统。作者提出用三步解决：先用 SQL 查询把资源负责人和云平台的登录记录对上，找出超过 90 天没登录的“沉默负责人”（AWS 和 Entra ID 有现成记录，GCP 只能查 Google Workspace 的登录时间）；再把所有权写成 IAM 角色绑定而不是普通标签，配合 Rego 策略，让移除负责人时没有接手人就自动报错；最后在离职/转岗流程里加上“这个人还管着哪些资源”这一步。这样能在下次安全审查之前就发现问题，而不是等八个月后一个陌生审批请求出现在前同事的队列里。
nsasoft/nsauditor-ai-agent-skill · AI Agent Skill for NSAuditor AI — gives any AI coding agent built-in knowledge of NSAuditor's MCP tools, schemas, plugins, and security audit workflows. Works with Claude Code, Cursor, Windsurf, and any MCP-aware agent.
这是一个可安装的知识包（Agent Skill），让 Claude Code、Claude Desktop、Cursor、Windsurf、VS Code Copilot 等支持 MCP 的 AI 编程智能体掌握 NSAuditor AI 的 MCP 工具签名、数据 Schema、插件目录与多步安全审计工作流，从而无需在每次对话中手动补充上下文。内容包括 SKILL.md 主入口、工作流配方、数据结构说明、插件目录（共 56 个扫描器，27 个社区版 + 29 个企业版）以及 9 个智能体交互示例。