Vibe Security 是什么？

它是一个基于 Agent Skills 格式的安全审计技能，用于检测 AI 编程助手在生成代码时常引入的安全漏洞模式，适用于 Claude Code、OpenAI Codex 等兼容 Agent。

它支持哪些 Agent 平台？

支持 Claude Code、OpenAI Codex 以及其他兼容 Agent Skills 格式的 Agent。

如何在 Claude Code 中安装？

运行命令 npx skills add https://github.com/raroque/vibe-security-skill --skill vibe-security。如果没有 npx，需先安装 Node.js。也可以手动克隆仓库后将 vibe-security/ 文件夹复制到项目的 .claude/skills/ 目录或全局 ~/.claude/skills/ 目录。

如何触发安全审计？

在 Claude Code 中使用 /vibe-security 命令，或在 Codex 中使用 $vibe-security。也可以用自然语言描述需求，如「check my code for security issues」。处理认证、支付、数据库等相关代码时也会自动激活。

它会检查哪些类型的安全问题？

涵盖密钥与环境变量、数据库安全（如 Supabase RLS）、认证与授权、速率限制、支付流程、移动端安全、AI/LLM 安全、部署配置和数据访问漏洞等多个类别。

它是如何避免浪费上下文的？

安全规则被组织为参考文件，Agent 会根据项目实际使用的技术栈按需加载对应规则，不会对无关技术执行检查。

September 26, 2026

Vibe Security

AI & Machine Learning Prompt Engineering & Skill Management0

Get resource

一个 Agent Skill，用于审计 AI 辅助编写的应用中常见的安全漏洞模式。

MITClaude CodeCode InputText Output

Skill广场 Skill Packaging

安装 / 调用方式bash

```bash
# Claude Code / OpenAI Codex
npx skills add https://github.com/raroque/vibe-security-skill --skill vibe-security

# 手动安装（项目级）
cp -r vibe-security/ .claude/skills/vibe-security/

# 手动安装（全局）
cp -r vibe-security/ ~/.claude/skills/vibe-security/
```

调用示例json

```bash
# Claude Code
/vibe-security

# OpenAI Codex
$vibe-security

# 自然语言触发
check my code for security issues
audit this project
```

Product facts

Type: AI Skill & Agent
Category: AI & Machine Learning › Prompt Engineering & Skill Management
Pricing: Open source
Platforms: Claude Code
License: MIT
Launched: Sep 26, 2026
Listed: Sep 26, 2026
Website: github.com

Overview

GitHub GitHub

Vibe Security 是一个基于 [Agent Skills](https://agentskills.io/home) 格式的安全审计技能，由 Chris Raroque 与 Aloa 团队协作开发，采用 MIT 协议开源。 AI 编程助手在快速构建功能时，常会引入一些安全问题，例如硬编码密钥、跳过行级安全策略（RLS）、信任客户端提交的价格、将 token 存储在 localStorage 中等。Vibe Security 的作用是在代码上线前识别并拦截这些模式。 ### 工作原理该技能将安全规则组织为参考文件，Agent 会根据项目使用的技术栈按需加载对应规则。例如项目使用 Supabase 时检查 RLS 策略，使用 Stripe 时检查支付流程，使用 React Native 时检查 JS bundle 中的密钥泄露。这种机制避免了对无关检查的上下文消耗。 ### 检查范围覆盖多个安全类别： - **密钥与环境变量**：硬编码 API 密钥、暴露在 `NEXT_PUBLIC_` / `VITE_` / `EXPO_PUBLIC_` 中的密钥、缺失 `.gitignore` - **数据库安全**：Supabase RLS 未启用、`USING (true)` 策略、Firebase `allow: if true` 规则等 - **认证与授权**：未验证的 `jwt.decode()`、仅依赖中间件的认证、未受保护的 Server Actions - **速率限制**：认证/AI/邮件端点缺少限流、客户端可篡改的计数器 - **支付**：客户端提交价格、缺少 webhook 签名验证 - **移动端**：JS bundle 中的 API 密钥、使用 AsyncStorage 存储 token - **AI / LLM**：暴露的 AI API 密钥、无用量上限、prompt 注入 - **部署**：生产环境调试模式、暴露 source maps、缺失安全头 - **数据访问**：SQL 注入、Prisma 操作符注入、批量赋值 ### 兼容性支持 Claude Code、OpenAI Codex 及其他兼容 Agent Skills 格式的 Agent。当编写或审查涉及认证、支付、数据库访问、API 密钥或用户数据的代码时，该技能也会自动激活。

Key features

密钥与环境变量检查：检测硬编码 API 密钥、暴露在公共环境变量中的密钥以及缺失的 .gitignore 配置。
数据库安全检查：检查 Supabase RLS 是否禁用、宽松策略、Firebase 开放规则及 Convex 缺失认证等问题。
认证与授权审计：识别未经验证的 jwt.decode()、仅依赖中间件的认证、未保护的 Server Actions 等模式。
速率限制检测：发现认证、AI、邮件端点缺少限流，以及客户端可篡改的速率计数器和缺失的计费上限。
支付流程审计：检查客户端提交价格、缺失 webhook 签名验证和过期的订阅状态校验。
移动端安全检查：检测 JS bundle 中的 API 密钥、AsyncStorage 存储 token、不安全的 deep link 和弱生物认证。
AI / LLM 安全检查：识别暴露的 AI API 密钥、缺少用量上限、prompt 注入和不安全的输出渲染。
部署配置审计：检查生产环境调试模式、暴露的 source maps、缺失安全头和可访问的 .git 目录。
数据访问漏洞检测：发现 SQL 注入、Prisma 操作符注入、$queryRawUnsafe 和批量赋值问题。
按技术栈加载规则：根据项目使用的技术（如 Supabase、Stripe、React Native）按需加载对应安全规则。
多 Agent 平台兼容：支持 Claude Code、OpenAI Codex 及其他兼容 Agent Skills 格式的 Agent。
自动触发审计：在处理认证、支付、数据库、API 密钥或用户数据相关代码时自动激活检查。

Releases

Notify me

Initial · Vibe Security

September 26, 2026

Q&A

Vibe Security 是什么？AI-generated: 它是一个基于 Agent Skills 格式的安全审计技能，用于检测 AI 编程助手在生成代码时常引入的安全漏洞模式，适用于 Claude Code、OpenAI Codex 等兼容 Agent。
它支持哪些 Agent 平台？AI-generated: 支持 Claude Code、OpenAI Codex 以及其他兼容 Agent Skills 格式的 Agent。
如何在 Claude Code 中安装？AI-generated: 运行命令 npx skills add https://github.com/raroque/vibe-security-skill --skill vibe-security。如果没有 npx，需先安装 Node.js。也可以手动克隆仓库后将 vibe-security/ 文件夹复制到项目的 .claude/skills/ 目录或全局 ~/.claude/skills/ 目录。
如何触发安全审计？AI-generated: 在 Claude Code 中使用 /vibe-security 命令，或在 Codex 中使用 $vibe-security。也可以用自然语言描述需求，如「check my code for security issues」。处理认证、支付、数据库等相关代码时也会自动激活。
它会检查哪些类型的安全问题？AI-generated: 涵盖密钥与环境变量、数据库安全（如 Supabase RLS）、认证与授权、速率限制、支付流程、移动端安全、AI/LLM 安全、部署配置和数据访问漏洞等多个类别。
它是如何避免浪费上下文的？AI-generated: 安全规则被组织为参考文件，Agent 会根据项目实际使用的技术栈按需加载对应规则，不会对无关技术执行检查。
这个技能的许可证是什么？AI-generated: 采用 MIT License 开源。