核心用法
agentsec 是一款专为 AI agent 技能设计的 CLI 安全审计工具，基于 OWASP Agentic Skills Top 10 标准对技能进行漏洞扫描、策略评估与合规检查。
主要功能
- 自动发现：支持 Claude Code、OpenClaw/ClawHub、Codex 等多平台技能目录自动识别
- 灵活扫描：单命令
npx agentsec即可启动，支持--path指定自定义目录 - 多格式报告：支持 text、JSON、SARIF、HTML 四种输出格式，便于 CI/CD 集成或向 stakeholders 汇报
- 策略预设：内置 default、strict、permissive、owasp-agent-top-10 四种策略，支持自定义策略配置
显著优点
- 零安装启动：
npx agentsec无需全局安装，开箱即用 - 权威标准：直接对接 OWASP Agentic Skills Top 10，覆盖恶意技能、供应链攻击、过度授权、元数据不安全等 10 类风险
- CI/CD 友好：退出码设计（0=通过，1=失败）可直接用于流水线门禁
- 多平台兼容：自动识别 Claude、OpenClaw、Codex 等主流 agent 平台的技能目录
潜在局限
- 依赖外部工具：需要 Node.js 环境及 npx/bunx 支持
- 生态覆盖有限：主要针对 skills.sh 生态，其他自定义技能格式兼容性待验证
- 配置学习成本：策略文件
.agentsecrc需要一定学习才能精细定制
适合人群
- AI agent 开发者：在发布前自检技能安全性
- DevOps/平台工程师：为 CI/CD 流水线添加技能安全门禁
- 安全合规团队：生成标准化审计报告（SARIF/HTML）满足合规要求
常规风险
- 扫描误报/漏报：自动化规则可能产生误报，或遗漏新型攻击向量
- 策略配置不当：过度宽松的
permissive策略可能放过高危风险 - 供应链依赖：工具本身通过 npm 分发，存在 supply chain 攻击面