Agent Skills

当用户的问题可能在他的 Obsidian 笔记里有答案，或者要把结论、资料存进知识库、整理知识库时使用。通过 Obsidian 官方命令行 obsidian 搜索、阅读、追加和链接笔记：回答前先查并引用笔记名，写入前先查重，只追加不覆盖，删除、改名、移动先问用户。 应用场景: 把 Obsidian 笔记库变成 Agent 能查能记的长期知识库

当用户要做 React 界面且项目使用 Astryx（@astryxdesign/core），或点名要用 Astryx、问它的组件、主题、升级时使用。通过托管 MCP（search、get）或 @astryxdesign/cli 先查组件文档和模板再写代码；写文件的命令先征得同意；不运行不带作用域的 npx astryx。 应用场景: 让 Agent 照着 Meta 的 Astryx 组件规范写界面，而不是凭记忆编

当用户要你在他自己的 iPhone 或 Android 手机上做事（查信息、回消息、下单、整理相册、搬文件）时使用。通过电脑上的 Pinky 应用和 phone_* MCP 工具操作，付款等关键步骤由用户批准；不输入密码和验证码，不绕过任何拦截。 应用场景: 让 Agent 在你看着、批准的前提下操作你的手机

当用户想弄懂一个应用、二进制或 Electron 程序的功能是怎么实现的，而手里没有源码时使用。基于开源的 REA（MIT）：通过 MCP 接入原生二进制、JavaScript/Electron、.NET、网站的分析工具，分析在本机运行，结论带证据和局限。只用于自己或获得授权的目标。 应用场景: 让 Agent 查清一个没有源码的应用功能是怎么实现的，并给出证据和局限。

当用户把 APK、二进制、前端加密 JS、CTF 题或授权的渗透测试目标丢过来，不知道该用什么方法和工具时使用。基于开源的 reverse-skill（MIT）：先路由到合适的方法，检查本机工具，确认授权范围后再按流程执行并出报告。 应用场景: 让 Agent 先判断目标属于什么场景，再选对应的方法、工具链和报告流程。

当用户想反编译 APK、XAPK、JAR、AAR，提取应用的 HTTP 接口、鉴权方式和代码结构时使用。基于开源的 android-reverse-engineering-skill（Apache-2.0）：先指纹识别，再用 jadx 等反编译，支持还原 R8 混淆后的 Kotlin 类名。只分析自己有权分析的应用。 应用场景: 让 Agent 反编译安卓应用，理出它调用的接口和代码结构。

当用户想研究一个现有产品的功能和流程，并做出自己的版本（架构、搭建、测试、品牌、上线）时使用。基于开源的 replica-skill（MIT），一套 11 个 Skill；只借鉴功能和流程，不复制对方的代码、logo、文案和内容，分析只用公开信息和用户自己的账号。 应用场景: 让 Agent 分析一个产品的功能和流程，再一步步做出你自己的差异化版本。

当用户想用本机已有的命令行工具逆向分析 Electron、原生二进制、Go、APK、WASM、固件或网站，又不想装 MCP 服务时使用。基于开源的 leanrea（MIT）：告诉 Agent 每类目标最快的命令和常见的坑，结论必须标明看到的还是推断的。 应用场景: 让 Agent 直接调本机逆向命令行工具，省掉 MCP 和复杂配置。

当用户在做 CTF 比赛或练习题（Web、二进制利用、密码学、逆向、取证、OSINT 等）时使用。基于开源的 ctf-skills（MIT）：按题型拆分的一套 Skill，附工具安装脚本。只用于比赛、练习靶场和授权测试。 应用场景: 让 Agent 按题型取对应的解题思路和工具，做 CTF 更快。

当用户已经用 IDA 导出反编译结果，想让 Agent 命名函数符号、还原数据结构、生成 Frida 或 Unicorn 脚本、写 IDAPython 时使用。基于开源的 reverse-skills，共 8 个技能；脱壳和砸壳只对自己拥有或获得授权的应用做。 应用场景: 让 Agent 接着 IDA 的反编译结果，命名符号、还原结构并生成动态插桩脚本。

当用户要分析前端签名、加密参数、动态 Cookie、混淆 JS 或 WASM，或者接口采集总是失败时使用。基于开源的 hello_js_reverse_skill（仓库未声明许可证）：用对照实验和证据分层下结论，只对自己或获得授权的目标做，不绕过付费、登录保护或验证码。 应用场景: 让 Agent 用对照实验定位前端签名和 Cookie 的来源，并给出有证据的结论。

当用户想要一个开箱即用的逆向工作区：用 Ghidra、Frida 等工具分析样本、做 CTF、出证据报告时使用。基于开源的 Open-ReverseLab（GPL-3.0）：180 多篇知识库文章加 100 多个 MCP 工具，按板块装工具。只用于自己的样本、靶场和授权测试。 应用场景: 让 Agent 在同一个工作区里用知识库和上百个工具分析样本并出证据报告。

当用户要定位前端加密函数（登录密码、请求签名、响应解密），并想把结果做成可复用的 JSRPC、Flask 服务和 Burp autoDecoder 配置时使用。基于开源的 js-reverse-automation--skill（Apache-2.0），通过 chrome-devtools-mcp 连接真实浏览器。只对自己或获得授权的目标做，用完关闭服务。 应用场景: 让 Agent 在真实浏览器里找到前端加密入口，并交付可调用的服务和 Burp 配置。

当用户想让 Agent 在 Google Colab 上开 GPU/TPU、执行代码、部署或微调开源模型、取回结果并释放机器时使用。合并官方 google-colab-cli（Apache-2.0）和 Colab 远程 MCP 两条路线：CLI 负责文件传输、SSH、Drive 和一次性任务，MCP 负责在聊天客户端里轻量开关机。强制用完释放、贵卡先问、不替用户付费。 应用场景: 让 Agent 替你在 Colab 上开 GPU、跑开源模型、取回结果并自动关机，本机终端用 CLI，聊天客户端里用远程 MCP。

当用户想把一句约 5 秒的口播文稿、观点或抽象概念做成配画面的纸拼贴动画时使用。基于开源的 gbro-collage-broll（MIT）：强制三道确认，只有确认过的条目才进入视频生成；成片竖屏、5 秒、无声；视频由用户自己的 Gemini 密钥按量付费。 应用场景: 让 Agent 把一句口播做成半调纸拼贴风的组装动画 B-roll，先出隐喻、再出静帧、最后生成视频，每一步都等你确认。

当用户给出户型图、CAD 截图、矢量 PDF 或 DXF，想还原成可编辑的 2D/3D 装修设计器网页，或要做水电管线排布和装修方案时使用。基于开源的 house-plan-designer（MIT）：按尺寸标注定位，先对账再交付，推断的承重墙标成待确认。 应用场景: 让 Agent 把一张户型图或 CAD 图纸还原成能在浏览器里编辑的 2D/3D 装修设计器，并自动布好家具和水电。

当用户想把一段内容、一套流程或知识点变成图（架构图、流程图、时序图、时间线、象限图、数据图表等），或想把 Mermaid、draw.io、Excalidraw 图重画得更好看、用上自己网站的配色时使用。基于开源的 diagram-design（MIT）：45 种图表，输出自包含的 HTML 加 SVG。不编数据，先说计划再画，先判断值不值得画。 应用场景: 让 Agent 把文字、流程和数据画成整洁的 HTML/SVG 图表，并能用上你自己网站的配色和字体。

当用户要对自己的代码库做安全审计、找漏洞、渗透式审查，或分析某段代码的安全问题时使用。基于 Cloudflare 开源的 security-audit-skill（MIT）：侦察、分头找漏洞、逐条推翻验证、独立复核、出报告。只读源码、不碰线上，没有沙箱不运行目标代码，推测不算漏洞。 应用场景: 让 Agent 对你自己的代码库做结构化安全审计，每个疑点都由另一个 Agent 验证，输出带证据的报告。

当用户要让 Agent 生成图片、视频、音频、3D 资产和游戏素材，或在 Blender、Maya、ZBrush、Unreal、Unity、Godot 里建模、绑定、做关卡和特效时使用。基于开源的 scenario-labs/skills（MIT）：生成前先用 dry_run 估价，花钱要确认；专家工具只需本机装有对应软件。 应用场景: 让 Agent 生成图片、视频、音频和 3D 资产，先估价再生成，并能驱动 Blender、Maya、ZBrush、Unreal、Unity 等软件。

当用户要做历史叙事或真实人物故事类的中文口播短视频，或提到 story-studio、故事工坊时使用。串起选题、口播稿、AI 配音、字幕对齐、分镜配图和剪映草稿，可整条做也可只做一段。花钱前先确认，密钥不进对话，史实优先；底层项目仅限非商业使用。 应用场景: 让 Agent 帮你做历史、人物故事类口播短视频：写稿、配音、字幕对齐、分镜配图，一直到剪映草稿。