需要按安全框架检索并执行网络安全技能时，用…

在调查安全事件、分析恶意软件、内存取证、威胁狩猎、云安全态势检查、ATT&CK 映射或按 NIST/MITRE 框架合规检查时，提供可检索、可加载、可执行的技能库操作流程。

适用场景

解决思路

1. 使用 `npx skills add mukul975/Anthropic-Cybersecurity-Skills` 安装技能库（推荐）。
2. 或使用 `git clone https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git` 后执行 `cd Anthropic-Cybersecurity-Skills`。
3. 或使用 `git submodule add https://github.com/mukul975/Anthropic-Cybersecurity-Skills.git skills/cybersecurity` 作为子模块加入项目。
4. 按 `skills/{skill-name}/` 结构读取技能：`SKILL.md` 含 YAML frontmatter；`references/standards.md` 放框架映射；`references/workflows.md` 放技术流程；`scripts/*.py` 放辅助脚本；`assets/*.md` 放模板与检查清单。
5. 按域发现技能：遍历 `skills`，读取每个 `SKILL.md` 的 YAML frontmatter，提取 `domain`、`subdomain`、`name`，构建 domains 字典。
6. 按框架映射发现技能：对给定 `technique_id`，遍历技能目录，检查 `references/standards.md` 是否包含该 ID，收集匹配技能的 `name`、`description`、`path`。
7. 按标签发现技能：解析每个 `SKILL.md` frontmatter 的 `tags`，返回与搜索标签有交集的技能。
8. 实现渐进加载：先 `scan_all_frontmatter()` 只扫描所有 frontmatter（约 30 tokens/技能），把 `path` 加回技能索引。
9. 实现 `load_full_skill(skill_name)`：读取 `skills/{skill_name}/SKILL.md`，切分 frontmatter 与正文，返回 `metadata`、`content`、`references`、`scripts`。
10. 在 `_load_references(skill_name)` 中读取 `skills/{skill_name}/references/` 下所有 `.md`，以文件名去扩展名作为键保存。
11. 在 `_load_scripts(skill_name)` 中读取 `skills/{skill_name}/scripts/` 下所有脚本，以文件名为键保存。
12. 使用模式：先 `scan_all_frontmatter()` 得到全部技能；再按标签筛选相关技能；最后只对前几个匹配项调用 `load_full_skill()` 加载完整内容。
13. 事件响应工作流：调用 `incident_response_guide(incident_type)`，扫描全部技能后按事件类型映射标签：`ransomware` -> `malware-analysis`、`incident-response`、`forensics`；`data_breach` -> `threat-hunting`、`forensics`、`cloud-security`；`phishing` -> `email-security`、`threat-intelligence`、`endpoint-security`；`insider_threat` -> `behavior-analytics`、`iam`、`forensics`。
14. 事件响应排序：对匹配技能按 `subdomain == 'incident-response'` 和与目标标签交集数量排序，返回前 5 个。
15. ATT&CK 覆盖检查：调用 `check_attack_coverage(technique_id)`，遍历技能并检查 `references/standards.md` 是否包含技术 ID；若包含则 `load_full_skill(skill_dir)`，收集 `name`、`description`、`domain`。
16. 多框架合规映射：调用 `compliance_mapper(skill_name)`，加载完整技能后输出 `attack_techniques`、`nist_csf`、`atlas_techniques`、`d3fend_techniques`、`nist_ai_rmf` 字段对应到 MITRE ATT&CK、NIST CSF 2.0、MITRE ATLAS、MITRE D3FEND、NIST AI RMF 的映射。
17. 执行技能脚本：调用 `execute_skill_script(skill_name, script_name, **kwargs)`；先检查 `skills/{skill_name}/scripts/{script_name}` 存在；用 `python script_path --key value` 构建命令；用 `subprocess.run(cmd, capture_output=True, text=True)` 执行；返回 `stdout`、`stderr`、`returncode`。
18. 示例执行：对 `performing-memory-forensics-with-volatility3` 的 `process.py` 传入 `dump_file='/path/to/memory.dmp'`、`plugin='windows.pslist'`，检查 `returncode == 0` 后读取 `stdout`，否则打印 `stderr`。
19. 环境配置：在 `.env` 中导出 `VIRUSTOTAL_API_KEY`、`SHODAN_API_KEY`、`MISP_URL`、`MISP_API_KEY`、`SPLUNK_HOST`、`SPLUNK_TOKEN`。
20. 在 Python 中用 `from dotenv import load_dotenv`、`load_dotenv()`，再通过 `os.getenv('VIRUSTOTAL_API_KEY')`、`os.getenv('MISP_URL')` 等读取。
21. 集成到 Claude Code / Cursor：把安全技能上下文放入项目的 `.claud/` 或 `.cursorrules`，指示：扫描 `skills/*/SKILL.md` frontmatter；按 domain/subdomain/tags 匹配；完整加载前 3 个相关技能；逐步执行 Workflow 章节；用 Verification 章节验证结果。
22. 示例映射：用户说 'analyze this memory dump' 时，加载 `performing-memory-forensics-with-volatility3/SKILL.md`，执行其中 Volatility3 命令，并用 Verification 检查清单验证发现。
23. 构建自定义 AI Agent：`CybersecurityAgent.__init__` 初始化 `SkillLoader(skills_dir)`，并用 `scan_all_frontmatter()` 建技能索引。
24. `handle_query(user_query)`：先 `_match_skills` 找相关技能，加载前 3 个完整技能，从正文提取 `## Workflow` 到下一个 `##` 的工作流片段，返回 `matched_skills`、`workflows`、`framework_mappings`。
25. `_match_skills(query)`：把 query 转小写，对每个技能在 `description` 中匹配关键词加 2 分、在 `tags` 中匹配加 1 分，按分数降序返回（可替换为语义搜索）。
26. `_get_mappings(skills)`：从已加载技能的 `metadata` 中汇总 `attack_techniques`、`nist_csf`、`atlas_techniques` 等到集合，再转列表返回。
27. 排障-技能不存在：调用 `verify_skill_exists(skill_name)`，检查 `skills/{skill_name}/SKILL.md` 是否存在，内容是否以 `---` 开头，YAML 是否可解析，并确认 required fields `name`、`description`、`domain`、`subdomain` 存在。
28. 排障-框架映射缺失：调用 `audit_framework_mappings(skill_name)`，检查 `skills/{skill_name}/references/standards.md`；用正则匹配 `ATT&CK`: `T\d{4}`，`NIST CSF`: `[A-Z]{2}\.[A-Z]{2}`，`ATLAS`: `AML\.T\d{4}`，`D3FEND`: `D3-[A-Z]+`，`AI RMF`: `[A-Z]+-\d+\.\d+`；输出各框架匹配结果。
29. 贡献技能时：所有技能必须包含 YAML frontmatter、结构化 Markdown 章节和框架映射，并遵循项目的 `CONTRIBUTING.md`。
30. 利用关键特性：754 个技能、26 个安全域；5 种框架映射（ATT&CK、NIST CSF、ATLAS、D3FEND、AI RMF）；渐进加载；结构化工作流；辅助脚本；框架标准；兼容 agentskills.io，适配 26+ AI 编码平台。

适用边界 · 注意事项

• 不适用于未安装、未克隆或无法访问该技能库 `skills/` 目录的环境。
• 不适用于需要实时专家判断、法律取证链或生产变更授权的场景；技能输出仍需人工复核。
• 依赖 VirusTotal、Shodan、MISP、Splunk 等外部服务的技能，在缺少对应 API key 或凭据时不应执行。