Blitz Strike
MCP 服务器把渗透测试方法论装进一个 MCP server：BLITZ 摸清攻击面，EAGLE-EYE 追 source-to-sink，STRIKE 对每条发现先实测再上报。
- mcp-server
- security
- pentest
- methodology
Skillbox
给 AI agent 用的自托管、带版本管理的技能库：不可变修订、可吊销的细分权限客户端密钥、HTTP MCP 加 stdio 桥——并且绝不执行上传的技能代码。
Skillbox 是一个单主人、自托管的应用（React、Bun、Hono、PostgreSQL），把散落的 agent 技能变成一套有治理的库。技能以 markdown 编辑，带不可变修订、冲突检测与恢复；profile 按技能/包授予权限，创建、更新、归档、提案四类权限彼此独立；客户端密钥可吊销、只存哈希，附带用量上报与需 owner 审核的更新提案。agent 经 HTTP MCP 接入（另有 Node/Bun stdio 桥与校验和验证的 CLI 下载），基础工具集为 search_skills、recommend_skills、load_skill、read_skill_file、report_skill_use——写入/提案类工具按所授权限出现。一个 bootstrap SKILL.md 充当 agent 侧的技能库入口。可选的任务感知技能推荐跑在你自己的 TypeSafe（Jev）或 Vercel AI Gateway key 上，目录有硬上限（最多 200 个叶子技能 / 120,000 序列化字符），相关度是未校准的 0-4 等级分；任何失败都会回退到确定性的 PostgreSQL 搜索并注明原因。取用会校验每个路径、文件哈希、大小、可执行位与包校验和后原子写入——服务器绝不执行上传的技能代码。provider 密钥在服务端以 AES-256-GCM 加密。仅支持 Docker 部署，可选 Caddy HTTPS 与 Umbrel 打包；MIT。
它做什么
- 不可变修订，带冲突检测与恢复；bundle 会把授权展开为去重后的现行叶子技能
- 可吊销的细分客户端密钥、只存哈希，按 profile 授权，更新需 owner 审核
- HTTP MCP 加 stdio 桥；每次取用都先校验路径、哈希、大小、可执行位与包校验和，再原子写入
- 可选的 Jev 技能推荐跑你自己的 API key，目录硬上限 200 叶子技能，失败回退确定性 PostgreSQL 搜索
什么时候用
想要一个有治理、带版本的 agent 技能单一来源——有访问控制、有用量上报——而不是在每台机器上手同步 ~/.claude/skills 的团队和多机个人用户。
如何上手
# 需要 Docker Engine/Desktop（Compose v2）+ Bash git clone https://github.com/kitze/skillbox.git cd skillbox bash scripts/skillbox.sh setup # 生成随机凭据的 .env，权限 0600 bash scripts/skillbox.sh start # 然后打开 http://127.0.0.1:4791 # agent 侧：安装 bootstrap/SKILL.md，把 MCP 指到 /mcp 并带上客户端密钥
注意事项
MIT。仅支持 Docker；新实例完全从零开始——不预置任何技能、账号或密钥。推荐相关度是未校准的 0-4 等级分而非概率；目录超过 200 叶子时宁可整体回退也不偷偷对子集排序。Jev 模式下任务文本与已授权技能描述会发给所选 provider——你的 key、你的账单。单主人自托管应用，不是多租户 SaaS；admin token 同时派生密钥加密材料，轮换它会让已存的 provider 凭据失效。
代码仓库
kitze/skillbox收录日期