sca-guardian
Introduction
1. 汽车与军工出海合规审查专家 (CRA/R155/4495) 核心痛点：企业在出海过程中，面对欧盟《网络弹性法案》(CRA)、联合国 R155 以及各类军工/航天出口管制（如 4495 规范），往往难以快速梳理合规差距。 Skill 能力设计： 法规映射与差距分析：输入企业的现有安全体系或产品架构，Skill 自动对照 CRA、R155 或 4495 的条款，输出合规差距分析报告。 出海合规路径规划：根据目标市场和产品类型，自动生成包含 SBOM 管理、漏洞响应机制、适航认证前置条件的合规路线图。 自研率与供应链溯源分析：结合 SCA 工具的输出结果，自动评估开源组件风险，计算核心代码自研率，并生成符合适航或军工审查标准的供应链安全报告。 2. 智能网联汽车代码安全与适航认证专家 核心痛点：汽车软件（尤其是涉及功能安全的代码）在 SAST 扫描后，误报率高，且难以直接与适航认证（如 DO-178C 等衍生标准）的安全目标对齐。 Skill 能力设计： SAST 结果智能审计：内置代码审计最佳实践，自动过滤 SAST 工具产生的误报，聚焦于真正影响行车安全和适航标准的高危漏洞。 适航合规证据链生成：将代码审计结果、SCA 依赖树与适航认证要求自动关联，生成可用于审查的合规证据包。 修复建议与代码重构：不仅指出问题，还能根据汽车软件编码规范（如 MISRA C/C++）提供符合适航要求的代码修复建议。 3. 大模型与 IT 智造安全架构咨询专家 核心痛点：IT 智造企业在引入大模型工具时，面临代码泄露、供应链投毒以及模型输出合规等新型安全风险。 Skill 能力设计： 大模型工具安全评估：评估企业自研或引入的大模型工具在代码生成、审计等环节的安全性，提供防数据泄露和防提示词注入的安全架构建议。 AI 辅助代码合规审查：结合 SAST 和大模型能力，对 AI 生成的代码进行二次合规性审查，确保其符合企业的安全基线和开源协议要求。 智造场景安全基线生成：针对 IT 智造企业的研发流程，自动生成包含 SCA、SAST、大模型使用规范的 DevSecOps 安全基线。 4. 软件供应链安全 (SCA) 战略与治理专家 核心痛点：企业虽然部署了 SCA 工具，但缺乏体系化的治理策略，导致“只扫不管”或修复成本过高。 Skill 能力设计： SCA 策略优化：根据企业的行业属性（汽车、军工等），自动推荐开源组件准入白名单、许可证风险阈值和漏洞修复 SLA。 SBOM 深度解析与合规：解析 CycloneDX/SPDX 格式的 SBOM，自动生成面向监管机构的供应链透明度报告。 开源风险量化评估：结合漏洞情报和组件活跃度，为企业的开源组件库进行健康度和风险评分。
Resource Information
License information is collected from official sources and may be outdated or missing. Refer to the LICENSE file in the original repository before commercial use.
Information boundary
Information on this page is collected from official documents for technical presentation only and does not imply our endorsement. Pricing, quotas and availability are subject to the latest official statements. We make no commitment regarding any action you take after leaving this site.
Similar skills
全国电子印章互认平台
Not specifiedAPI key required电子印章公安备案、全网互认，实现所有格式文件电子签章与视频确权，覆盖全国所有CA厂商自2005年以来的全量电子签章数据，无论由哪个地区、哪套系统、哪家CA机构签发，均可精准校验与互认。
Amass · 攻击面测绘
Marked freeOWASP 出品的网络攻击面测绘框架：被动聚合外部 API 与公开数据库 + 主动 DNS 爆破与递归扩展，图谱化呈现资产关系，定位组织全部可达边界与隐藏/被遗忘的子域名。适合大规模侦察与完整攻击面盘点。
Subfinder · 被动子域名枚举
Marked free快速被动子域名枚举工具：通过证书透明度日志、搜索引擎、DNS 数据集等被动源发现目标子域名，不直接向目标发流量，快速且隐蔽。内置通配符消除、按源限速、JSONL 输出，是 bug bounty 侦察管道的标准第一环（subfinder → httpx → nuclei）。
钟馗.skill
API key required钟馗.Skill——会更新漏洞库的安全审查专家。直来直去、快刀斩乱麻，三层审查（静态审计/行为模拟/供应链溯源）覆盖12类风险，输出结构化安全裁定（✅干净/⚠️可疑/🚫恶意）。Use when 用户说"审查这个Skill"、"安全检查"、"钟馗看下"、"审一下"、"查一下这个skill"、安装Skill前的安全评估、或需要审计SKILL.md的恶意载荷。
HTTPX · 存活探测与指纹
Marked free快速多用途 HTTP 探测工具：对子域名列表批量探测存活、状态码、页面标题、技术栈指纹（-tech-detect）、重定向链。是 subfinder 之后、nuclei 之前的标准一环——先知道哪些活着、跑着什么，再决定扫什么。
Waybackurls · 历史URL挖掘
Marked free从 Internet Archive Wayback Machine 提取目标域名的全部历史 URL。老 API 路径、已下线页面、带参数的历史端点常常还活着但没人管——正是赏金猎人说的「钱在无聊的输出里」。纯被动，不碰目标。
What is a Skill
A Skill is a packaged single capability, such as text recognition, document summarization, or keyword extraction. Developers wrap the calling logic and prompts into a plugin-like unit, so users can load it without understanding the underlying model. StackPilot indexes a large number of skills that can be tried instantly or assembled into a plan.