安全威胁建模

原名：security-threat-model

根据真实代码和系统边界整理资产、信任边界、风险路径与缓解措施。

中文 Skills 技能说明

适合在设计或上线前做防御性威胁分析。它会先确认系统暴露面和重要资产，再列出具有现实可能性的滥用路径、影响和优先级，输出可追踪的改进项，不进行真实攻击。

上游能力依据

上游原始适用说明：Repository-grounded threat modeling that enumerates trust boundaries, assets, attacker capabilities, abuse paths, and mitigations, and writes a concise Markdown threat model. Trigger only when the user explicitly asks to threat model a codebase or path, enumerate threats/abuse paths, or perform AppSec threat modeling. Do not trigger for general architecture summaries, code review, or non-security design work.

上游 SKILL.md 主要章节（保留原文标题）：

• Quick start
• Workflow
• 1) Scope and extract the system model
• 2) Derive boundaries, assets, and entry points
• 3) Calibrate assets and attacker capabilities
• 4) Enumerate threats as abuse paths
• 5) Prioritize with explicit likelihood and impact reasoning
• 6) Validate service context and assumptions with the user
• 7) Recommend mitigations and focus paths
• 8) Run a quality check before finalizing

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者

openai

中文翻译

CEOFans翻译

许可证

Apache-2.0

上游来源

https://github.com/openai/skills/tree/main/skills/.curated/security-threat-model

适用范围

平台：linux、macos、windows；标签：Security、Threat Model、Analysis

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。