Security

nota-america Bundle

Perform language and framework specific security best-practice reviews and suggest improvements. Trigger only when the user explicitly requests security best practices guidance, a security review/report, or secure-by-default coding help. Trigger only for supported languages (python, javascript/typescript, go). Do not trigger for general code review, debugging, or non-security tasks.

nota-america Bundle

Create or redesign enterprise AI, automation, security, and operations product pages that explain system boundaries, approvals, auditability, exceptions, and rollback. Use for dark cinematic heroes, hairline grids, metric pauses, expandable solution rows, case-study evidence, security proof, and qualified demo or waitlist handoffs.

nota-america Bundle

Design, implement, backfill, audit, and release in-game changelogs with contiguous versioning, deployment provenance, menu-state navigation, accessible toggle, close, and Escape behavior, and responsive release-ledger UI. Use when Codex needs to add or revise a changelog or version screen in a game, reconstruct release history from deployments and Git, define version-bump rules, keep displayed versions synchronized with live builds, or test changelog mechanics across desktop and mobile.

nota-america Bundle

Build, extend, or audit production-linked browser map editors for Three.js and isometric games. Use when Codex needs to create a private director view, derive a versioned editor document from authored placements, add outliner, layer, selection, drag, snap, inspector, or camera controls, expose enemy aggro, leash, or patrol overlays, implement local draft import, export, undo, and reset, secure an editor route with IP and password sessions, or validate and release a map editor without mutating live gameplay data.

nota-america Bundle

Build, integrate, audit, or refactor rigged monsters for Three.js and web action games. Use for monster asset contracts, procedural or imported creature rigs, semantic joints and sockets, hurtboxes and attack volumes, combat animation states, enemy-runtime adapters, LODs, deterministic review fixtures, and validating that every monster follows one shared system.

nota-america Skill

Prepare journal entries with proper debits, credits, and supporting detail. Use when booking month-end accruals (AP, payroll, prepaid), recording depreciation or amortization, posting revenue recognition or deferred revenue adjustments, or documenting an entry for audit review.

nota-america Skill

Document a business process — flowcharts, RACI, and SOPs. Use when formalizing a process that lives in someone's head, building a RACI to clarify who owns what, writing an SOP for a handoff or audit, or capturing the exceptions and edge cases of how work actually gets done.

nota-america Skill

Review code changes for security, performance, and correctness. Trigger with a PR URL or diff, "review this before I merge", "is this code safe?", or when checking a change for N+1 queries, injection risks, missing edge cases, or error handling gaps.

nota-america Skill

Support SOX 404 compliance with control testing methodology, sample selection, and documentation standards. Use when generating testing workpapers, selecting audit samples, classifying control deficiencies, or preparing for internal or external audits.

findscripter Skill

当需要拿一份界面/屏幕/用户流去对照研究支撑的 UX/UI 原则做体检、找反模式（UX 异味）并产出带严重度与修复建议的审计报告时使用；不适用于从零做视觉稿、纯前端实现或无界面描述的拍脑袋评审；触发词：UX 审计、界面体检、反模式、UX 异味、可用性评估、AI 界面审查、用户流检查

findscripter Skill

当在授权的漏洞赏金或渗透测试中需要对 REST/SOAP/GraphQL API 做侦察、模糊测试与越权挖掘时使用；做端点枚举、IDOR/BOLA、注入、鉴权绕过、403 绕过与 GraphQL 内省/批处理攻击并产出可复现 PoC 与漏洞清单；不适用于未授权目标、生产破坏性攻击或前端 UI/业务逻辑测试。触发词：API 模糊测试、IDOR、GraphQL 内省、鉴权绕过、Swagger 枚举、漏洞赏金

findscripter Skill

当编写或审计密码学代码（签名/加解密/密钥派生）、对秘密值做除法或秘密相关分支、或排查常量时间/时序侧信道问题时使用；用 ct_analyzer 反汇编分析多语言源码并定位泄密指令（DIV/分支/早退比较），产出问题清单与修复建议；不适用于非密码学/纯公开数据/不涉密的业务代码。触发词：常量时间、时序攻击、侧信道、constant-time、timing attack、side-channel、KyberSlash

findscripter Skill

当需要对 Laravel 10/11+ 应用做安全审计、排查漏洞与配置风险时使用；以攻击者视角逐项审查输入校验、鉴权、认证、数据库、文件上传、API、XSS、部署配置，按 Critical/High/Medium/Low/Informational 分级，产出含漏洞清单、利用场景与 Laravel 原生修复方案的报告；不适用于非 Laravel 项目、纯功能实现或纯架构（非安全）问题。触发词：Laravel 安全审计、漏洞排查、OWASP

findscripter Skill

当为服务网格落地零信任、双向认证的服务间通信，或排查 TLS 握手与证书轮换问题时使用；做 Istio/Linkerd mTLS 策略、cert-manager/SPIFFE 证书签发与轮换、PeerAuthentication/DestinationRule 配置并验证产出；不适用于面向公网用户的单向 TLS、应用层鉴权或与 mTLS 无关的网络任务。触发词：mTLS、零信任、PeerAuthentication、证书轮换、SPIFFE、Istio、Linkerd

findscripter Skill

当对授权目标做 Web 渗透、需检测/利用文件路径遍历（目录遍历/LFI）以读取服务器任意文件时使用；做参数定位、payload 构造与绕过、敏感文件读取乃至 LFI 提权到 RCE 的实操并产出漏洞证据与修复建议；不适用于未授权测试或生产数据破坏。触发词：路径遍历、目录遍历、LFI、../etc/passwd、文件下载参数

findscripter Skill

当需要对代码/API/基础设施/AI 智能体做安全审计、威胁建模或事件响应时使用；以"以攻者视角思考、以防御架构师身份落地"为原则，按 6 阶段流程产出攻击面地图、STRIDE/PASTA 威胁模型、漏洞清单、加固方案、量化评分与上线裁决；不适用于功能开发、性能调优或与安全无关的通用任务。触发词：安全审计、威胁建模、STRIDE、加固、事件响应、提示注入。

findscripter Skill

当需要登记/更新 IP 资产、追踪商标续展·专利年费·使用声明等到期项、或审计组合查缺口与失效风险时使用；按 --report/--add/--update/--audit 维护 portfolio.yaml 登记簿并产出按紧迫度分级的到期报告与审计清单；不适用于代为递交申请·缴费、自动核验官方记录或替代 IPMS/律师定夺。触发词：知识产权组合, 商标续展, 专利年费, 使用声明, 到期提醒, 续展登记, IP登记簿, 组合审计, portfolio, renewal, maintenance fee, §8, annuity, docket

findscripter Skill

当审计 Uniswap/Curve/Balancer 类自动做市商（AMM）合约的 swap/mint/burn 逻辑时使用；按闪电贷、价格操纵、滑点、重入、整数运算、访问控制逐项审查并产出分级漏洞清单与加固建议；不适用于非 EVM 链、链下后端或非 AMM 的通用合约审计。触发词：AMM 审计、闪电贷攻击、价格操纵、三明治、滑点保护、重入

findscripter Skill

当在授权红队/渗透测试中评估 Microsoft AD 域环境时使用；做侦察、凭据获取、Kerberos 票据攻击、横向移动到提权直至域控接管，产出枚举数据、哈希/票据与攻陷路径；不适用于未授权目标、非 AD/通用网络渗透、防御加固本身。触发词：Active Directory、Kerberoasting、DCSync、BloodHound、Golden Ticket、NTLM Relay

findscripter Skill

当需要系统化建模攻击场景、识别防御缺口、向干系人传达安全风险时使用；做的事是以根目标为顶、AND/OR 分解子目标、为叶子标注成本/技能/耗时/被检出概率，并产出攻击树（Mermaid/PlantUML 图）、最易/最省/最隐蔽路径分析与按覆盖率排序的缓解措施清单；不适用于无授权或未定范围的建模、不含攻击路径建模的泛化风险评审、与安全评估无关的需求。触发词：攻击树、威胁路径、AND/OR 分解、缓解优先级、攻击场景可视化

nota-america Bundle

Chief Security Officer mode. (gstack)

nota-america Skill

Live developer experience audit. (gstack)

nota-america Skill

Visual design audit for iOS apps on real hardware. (gstack)

findscripter Skill

当编写、审计 Solidity 智能合约或为 DeFi/区块链应用排查安全漏洞时使用；做漏洞识别与安全模式重写并产出加固代码、测试用例与审计前清单；不适用于非 EVM 链（Solana/Cairo/Move）、链下后端代码或纯业务逻辑审查；触发词：智能合约安全、Solidity 审计、重入、reentrancy、整数溢出、访问控制、CEI、抢跑、front-running、gas 优化

findscripter Skill

当采纳新合规框架、敲定年度审核日历或签署认证就绪结论前使用；用「六问质询」压测合规项目并产出就绪裁决（READY/STAGE-2/NOT-READY）与Top3行动项；不适用于单框架技术配置或日常证据维护；触发词：合规就绪、多框架审计、认证就绪

findscripter Skill

当实现用户认证、保护 REST/GraphQL API、接入 OAuth2/SSO、设计会话或 RBAC、排查鉴权问题时使用；做认证策略选型、令牌生命周期、授权模型与策略执行点的安全实现并产出可落地代码与清单；不适用于仅做登录页 UI 文案/样式、纯基础设施无身份诉求、或无权改动鉴权策略与凭据存储的场景。触发词：JWT、OAuth2、RBAC、会话管理、令牌刷新、SSO。

findscripter Skill

当需要在隔离靶场搭建并测试 HTTP/HTTPS/SNMP/SMB 等常见网络服务、用于练习服务枚举与日志分析时使用；做服务安装配置（Apache/IIS、snmpd、Samba）、防火墙放行、自签证书、枚举（snmpwalk/smbclient/enum4linux）与日志取证；不适用于生产环境、未授权扫描或真实攻击。触发词：靶场搭建、network 101、HTTP/HTTPS/SNMP/SMB 服务、服务枚举、Samba 共享

findscripter Skill

当对 Web 应用做认证/会话安全测试（已获书面授权）时使用；按 10 阶段方法对密码策略、用户名枚举、暴破/撞库、会话令牌与固定、超时、MFA、口令重置逐项检测并产出漏洞评估报告与修复建议；不适用于无授权测试、用真实泄露凭据登录他人账号、或第三方 SSO 越界；触发词：broken authentication、会话固定、JWT none、OTP 暴破、撞库

findscripter Skill

当已发现一个漏洞、需要在整个代码库横向搜出同类变体时使用；做基于模式的根因抽象、构建 ripgrep/Semgrep/CodeQL 查询并产出变体清单与排查报告；不适用于初次漏洞发现、无已知模式的泛化代码审查或编写修复方案；触发词：变体分析、variant analysis、漏洞变体、同类漏洞、CodeQL、Semgrep、横向排查、taint。

aifinlab Bundle

当需要对业务流程或审批流日志进行审计、定位违规节点并输出审计结论与整改建议时使用本技能，适用于合规运营与内控审计场景。

cslawyer1985 Bundle

面向政府实体及其供应链的澳大利亚信息安全手册（ISM）专家顾问。用于 ISM 控制选择、差距分析、系统授权、IRAP 评估准备、安全文档和 ASD 合规。触发词：ISM controls、ASD compliance、IRAP assessment、PROTECTED system scoping、Essential Eight vs ISM、system authorisation、NC/OS/PROTECTED/SECRET/TOP SECRET 密级标记、security objectives、ISM guidelines 或 chapters、control applicability markings、面向澳大利亚政府的网络安全文档，以及任何关于 ASD 信息安全手册框架或澳大利亚政府网络安全义务的问题。

cslawyer1985 Bundle

面向国防工业基础（DIB）中美国国防承包商和分包商的专家级 CMMC 2.0（网络安全成熟度模型认证）顾问。当用户询问 CMMC 2.0、CMMC 第 1 级、第 2 级或第 3 级、国防部网络安全合规、NIST SP 800-171、CUI（受控非密信息）保护、系统安全计划（SSP）、行动与里程碑计划（POA&M）、C3PAO 评估、DIBCAC 审计、自评估、SPRS 分数，或 DFARS 252.204-7012 或 7021 项下的任何要求时，使用本 skill。以下情况也触发："CMMC gap analysis"、"CMMC readiness"、"FCI protection"、"CUI scoping"、"CMMC practices"、"DoD contract cybersecurity"、"defense supply chain security"、"prime contractor flow-down requirements"。

cslawyer1985 Bundle

面向新西兰政府机构及其供应链的《新西兰信息安全手册》（NZISM）专家顾问。用于 NZISM 控制指引、差距分析、机构安全义务、分类框架（从'非保密'到'绝密'）、安全风险管理、系统认证和 GCSB/NCSC NZ 合规。触发词：NZISM controls、NZ government security、GCSB compliance、agency cybersecurity obligations、NZ classification markings、Restricted/Confidential/Secret system scoping、agency security policies、third-party supplier security、Certification and Accreditation (C&A)，以及任何关于新西兰政府信息安全要求或 NZISM 框架的问题。

cslawyer1985 Bundle

面向 (EU) 2024/2847 号法规的欧盟网络弹性法案（CRA）专家顾问——对在欧盟销售的所有含数字元素产品（PDE）的强制性网络安全和漏洞处理要求。使用本技能进行差距分析、产品分类（默认 / 第一类 / 第二类）、合格评定路线选择、CE 标志、SBOM 要求、向 ENISA/CSIRT 的漏洞和事件报告、支持期义务，以及制造商/进口商/分销商职责。触发词：EU CRA、Cyber Resilience Act（网络弹性法案）、PDE compliance（PDE 合规）、Annex I requirements（附件 I 要求）、SBOM EU、CE marking cybersecurity（CE 标志网络安全）、connected product security EU（欧盟联网产品安全）。

cslawyer1985 Bundle

专利申请文件核稿技能。对用户提供的专利申请文件（权利要求书、说明书、摘要）进行全面三阶段核查，输出结构化核稿意见通知书。This skill should be used when the user asks to review, check, or audit a patent application document (专利核稿、专利审查、权利要求核查、说明书核查、专利文件质检).

cslawyer1985 Bundle

国有企业经济责任审计涉税风险与合规专项助手。聚焦国企经责审计中的涉税风险（虚开发票/偷逃税款/账外账小金库、国有资本收益上交、财政专项资金挤占挪用、重大经济决策涉税、境外国有资产税务监管、审计整改闭环）；并覆盖三公经费审计隐形违规识别（跨科目转移隐匿接待费、供应商穿透、四单合一消费实质验证、资金转移路径、公务卡结算）；提供结构化合规自检与全链路闭环实操，覆盖审计准备—涉税风险识别—证据链固化—整改落实—成果运用全流程。（聚焦国企经责审计、国有资本收益、财政专项资金、审计整改、境外资产税务、关联交易转让定价、虚开发票审计、三公经费审计、公务接待费、跨科目转移、四单合一、资金转移路径、公务卡结算。）