Works immediately with Claude Code, GitHub Copilot, OpenAI Codex CLI, Cursor, Gemini CLI, and any [agentskills.io](https://agentskills.io)-compatible platform. 

## 🌍 GARS-2026 — Globale Studie zur Bereitschaft für agentische KI

Ich führe eine globale akademische Studie durch, die misst, wie bereit Sicherheitsexperten,
Entwickler und Unternehmens-Teams tatsächlich für agentische KI sind — MCP-Server,
Tool-Aufrufe, Governance und Mensch-in-der-Schleife-Workflows.

**Wenn du dieses Repo nutzt, wäre deine Antwort ein wirklich wertvoller Datenpunkt.**

📋 **Nimm an der Umfrage teil (10 Min.):**
[Umfrage-Link](https://mahipal.engineer/survey?utm_source=github_repo&utm_medium=readme&utm_campaign=gars2026)

- 60 Fragen · Anonym · Beaufsichtigt von der SRH Berlin
- Du erhältst **50 Casky-Tokens** für den frühen Zugang zu [casky.ai](https://casky.ai)
- Ergebnisse werden als Open Access unter CC-BY 4.0 veröffentlicht

## 🚀 Teste es auf dem Playground

Erlebe Casky.ai praktisch — keine Einrichtung erforderlich.

**[→ Playground auf Casky.ai starten](https://casky.ai/?utm_source=github&utm_medium=readme&utm_campaign=cohort_launch#waitlist)**

Der Playground ermöglicht dir:
- Führe Live-Übungen zu Cybersicherheits-Skills gegen reale Ziele aus
- Sieh KI-Agenten strukturierte Skills in Echtzeit ausführen
- Erkunde interaktiv Workflows, die MITRE ATT&CK zugeordnet sind
- Teste Szenarien für Threat Hunting, DFIR und Penetrationstests

Keine Installation. Keine Konfiguration. Einfach öffnen und loslegen.
## Warum es das gibt

Die Kluft bei den Cybersicherheits-Fachkräften erreichte 2024 weltweit **4,8 Millionen unbesetzte Stellen** (ISC2). KI-Agenten können helfen, diese Kluft zu schließen — aber nur, wenn sie über strukturiertes Domänenwissen verfügen, mit dem sie arbeiten können. Heutige Agenten können Code schreiben und im Web suchen, aber es fehlen ihnen die Praxis-Playbooks, die aus einem generischen LLM einen fähigen Sicherheitsanalysten machen.

Bestehende Repos für Sicherheitstools liefern Wortlisten, Payloads oder Exploit-Code. Keines davon gibt einem KI-Agenten den strukturierten Entscheidungs-Workflow, dem ein Senior-Analyst folgt: wann welche Technik eingesetzt wird, welche Voraussetzungen zu prüfen sind, wie man Schritt für Schritt vorgeht und wie man Ergebnisse verifiziert. Diese Lücke schließt dieses Projekt.

**Anthropic Cybersecurity Skills** ist keine Sammlung von Skripten oder Checklisten. Es ist eine **KI-native Wissensbasis**, die von Grund auf für den agentskills.io-Standard entwickelt wurde  — YAML-Frontmatter für die Erkennung in unter einer Sekunde, strukturiertes Markdown für die schrittweise Ausführung und Referenzdateien für tiefen technischen Kontext.  Jeder Skill kodiert reale Praktiker-Workflows, keine generierten Zusammenfassungen.

## Was enthalten ist — 29 Sicherheitsdomänen

| Domäne | Skills | Kernfunktionen |
|---|---|---|
| Cloud-Sicherheit | 66 | AWS-, Azure-, GCP-Härtung · CSPM · Cloud-Angriffssimulation · Cloud-Forensik |
| Threat Hunting | 58 | Hypothesengetriebene Jagden · LOTL-Erkennung · EVTX-Jagd · Flottenjagd |
| Threat Intelligence | 52 | STIX/TAXII · MISP · OpenCTI · Feed-Integration · Akteursprofilierung |
| Netzwerksicherheit | 43 | IDS/IPS · Firewall-Regeln · VLAN-Segmentierung · Verkehrsanalyse |
| Webanwendungssicherheit | 42 | OWASP Top 10 · SQLi · XSS · SSRF · Deserialisierung |
| Digitale Forensik | 41 | Datenträger-Imaging · Speicherforensik · Hayabusa/KAPE/Plaso-Timelines |
| Malware-Analyse | 39 | Statische/dynamische Analyse · Reverse Engineering · Sandboxing |
| Identitäts- & Zugriffsverwaltung | 37 | Entra ID/ROADtools · Device-Code-Phishing · PAM · Zero-Trust-Identität |
| SOC-Betrieb | 35 | Playbooks · Eskalations-Workflows · Graph-Log-Erkennung · Tabletop-Übungen |
| Red Teaming | 33 | ADCS/Certipy · BloodHound CE · Sliver/Havoc C2 · NTLM-Relay |
| Containersicherheit | 33 | K8s-RBAC · Image-Scanning · Falco · Container-Escape |
| Sicherheitsbetrieb | 28 | SIEM-Korrelation · Log-Analyse · Alert-Triage |
| OT/ICS-Sicherheit | 28 | Modbus · DNP3 · IEC 62443 · Historian-Verteidigung · SCADA |
| API-Sicherheit | 28 | GraphQL · REST · OWASP API Top 10 · WAF-Bypass |
| Incident Response | 26 | Eindämmung von Sicherheitsvorfällen · Ransomware-Reaktion · IR-Playbooks |
| Schwachstellenmanagement | 25 | Nessus · Scan-Workflows · Patch-Priorisierung · CVSS |
| Penetrationstests | 21 | Netzwerk · Web · Cloud · Mobil · NetExec-Lateral-Bewegung |
| DevSecOps | 18 | CI/CD-Sicherheit · Trivy-IaC/Image-Scanning · Codesignierung |
| Zero-Trust-Architektur | 17 | BeyondCorp · CISA-Reifegradmodell · Mikrosegmentierung |
| Endpointsicherheit | 17 | EDR · LOTL-Erkennung · dateilose Malware · Persistenz-Jagd |
| Kryptografie | 16 | TLS · Ed25519 · Post-Quanten-Migration · Schlüsselverwaltung |
| Phishing-Abwehr | 15 | E-Mail-Authentifizierung · BEC-Erkennung · Phishing-IR |
| KI-Sicherheit | 14 | LLM-Red-Teaming (garak/PyRIT) · Prompt-Injection · MCP/Agentic-Sicherheit · Guardrails |
| Mobilsicherheit | 13 | Android/iOS-Analyse · Mobile-Pentesting · MDM-Forensik |
| Ransomware-Abwehr | 13 | Vorläufer-Erkennung · Reaktion · Wiederherstellung · Verschlüsselungsanalyse |
| Compliance & Governance | 9 | NIST 800-30/RMF · CMMC · HIPAA · TPRM · CIS-Benchmarks |
| Lieferkettensicherheit | 8 | SBOMs · Dependency Confusion · Triage bösartiger Pakete · SLSA/Sigstore |
| Täuschungstechnologie | 6 | Honeytokens · Canarytokens · Erkennung von Sicherheitsverletzungen |
| Hardware- & Firmware-Sicherheit | 4 | CHIPSEC/UEFI-Audit · Secure-Boot-Bypass · TPM-Attestierung · Bootkit-Jagd |

## Wie KI-Agenten diese Skills nutzen

Jeder Skill kostet **~30 Tokens zum Scannen** (nur Frontmatter)  und **500–2.000 Tokens zum vollständigen Laden** (kompletter Workflow). Diese Architektur der progressiven Offenlegung ermöglicht es Agenten, alle 817 Skills in einem einzigen Durchgang zu durchsuchen, ohne die Kontextfenster zu sprengen.```
User prompt: "Analyze this memory dump for signs of credential theft"

Agent's internal process:

  1. Scans 817 skill frontmatters (~30 tokens each)
     → identifies 12 relevant skills by matching tags, description, domain

  2. Loads top 3 matches:
     • performing-memory-forensics-with-volatility3
     • hunting-for-credential-dumping-lsass
     • analyzing-windows-event-logs-for-credential-access

  3. Executes the structured Workflow section step-by-step
     → runs Volatility3 plugins, checks LSASS access patterns,
        correlates with event log evidence

  4. Validates results using the Verification section
     → confirms IOCs, maps findings to ATT&CK T1003 (Credential Dumping)

### YAML-Frontmatter (echtes Beispiel)```yaml
---
name: performing-memory-forensics-with-volatility3
description: >-
  Analyze memory dumps to extract running processes, network connections,
  injected code, and malware artifacts using the Volatility3 framework.
domain: cybersecurity
subdomain: digital-forensics
tags: [forensics, memory-analysis, volatility3, incident-response, dfir]
atlas_techniques: [AML.T0047]
d3fend_techniques: [D3-MA, D3-PSMD]
nist_ai_rmf: [MEASURE-2.6]
nist_csf: [DE.CM-01, RS.AN-03]
version: "1.2"
author: mukul975
license: Apache-2.0
---

Frontmatter-Felder: `name` (kebab-case, 1–64 Zeichen), `description` (keywordreich für die Auffindbarkeit durch Agenten), `domain`, `subdomain`, `tags`, `atlas_techniques` (MITRE-ATLAS-IDs), `d3fend_techniques` (MITRE-D3FEND-IDs), `nist_ai_rmf` (NIST-AI-RMF-Referenzen), `nist_csf` (NIST-CSF-2.0-Kategorien). Die MITRE-ATT&CK-Technikzuordnungen sind in der Datei `references/standards.md` jedes Skills sowie in der mit den Releases gelieferten ATT&CK-Navigator-Ebene dokumentiert. 

<details>
<summary><strong>📊 MITRE-ATT&CK-Enterprise-Abdeckung — alle 14 Taktiken</strong></summary>

&nbsp;

| Taktik | ID | Abdeckung | Wichtige Skills |
|---|---|---|---|
| Aufklärung | TA0043 | Stark | OSINT, Subdomain-Enumeration, DNS-Recon |
| Ressourcenentwicklung | TA0042 | Mittel | Phishing-Infrastruktur, C2-Setup-Erkennung |
| Erster Zugriff | TA0001 | Stark | Phishing-Simulation, Exploit-Erkennung, Forced Browsing |
| Ausführung | TA0002 | Stark | PowerShell-Analyse, dateilose Schadsoftware, Script-Block-Logging |
| Persistenz | TA0003 | Stark | Geplante Aufgaben, Registry, Dienstkonten, LOTL |
| Privilegienerweiterung | TA0004 | Stark | Kerberoasting, AD-Angriffe, Cloud-Rechteausweitung |
| Verteidigungsumgehung | TA0005 | Stark | Verschleierung, Rootkit-Analyse, Umgehungserkennung |
| Zugriff auf Anmeldeinformationen | TA0006 | Stark | Mimikatz-Erkennung, Pass-the-Hash, Credential Dumping |
| Entdeckung | TA0007 | Mittel | BloodHound, AD-Enumeration, Netzwerkscanning |
| Seitwärtsbewegung | TA0008 | Stark | SMB-Exploits, Erkennung lateraler Bewegung mit Splunk |
| Sammlung | TA0009 | Mittel | E-Mail-Forensik, Erkennung von Daten-Staging |
| Command and Control | TA0011 | Stark | C2-Beaconing, DNS-Tunneling, Cobalt-Strike-Analyse |
| Exfiltration | TA0010 | Stark | DNS-Exfiltration, DLP-Kontrollen, Erkennung von Datenverlust |
| Auswirkung | TA0040 | Stark | Ransomware-Abwehr, Verschlüsselungsanalyse, Wiederherstellung |

Eine **ATT&CK-Navigator-Ebenendatei** ist in den [Release-Assets von v1.0.0](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/releases/tag/v1.0.0) enthalten, um die Abdeckung visuell darzustellen. 

> **Hinweis:** ATT&CK v19 erscheint am 28. April 2026 — die Verteidigungsumgehung (TA0005) wird in zwei neue Taktiken aufgeteilt: *Stealth* und *Impair Defenses*.  Die Skill-Zuordnungen werden in einem kommenden Release aktualisiert.

</details>

<details>
<summary><strong>📊 NIST-CSF-2.0-Zuordnung — alle 6 Funktionen</strong></summary>

&nbsp;

| Funktion | Skills | Beispiele |
|---|---|---|
| **Govern (GV)** | 30+ | Risikostrategie, Policy-Frameworks, Rollen & Verantwortlichkeiten |
| **Identify (ID)** | 120+ | Asset-Erkennung, Bewertung der Bedrohungslandschaft, Risikoanalyse |
| **Protect (PR)** | 150+ | IAM-Härtung, WAF-Regeln, Zero Trust, Verschlüsselung |
| **Detect (DE)** | 200+ | Threat Hunting, SIEM-Korrelation, Anomalieerkennung |
| **Respond (RS)** | 160+ | Incident Response, Forensik, Eindämmung von Sicherheitsverletzungen |
| **Recover (RC)** | 40+ | Ransomware-Wiederherstellung, BCP, Disaster Recovery |

NIST CSF 2.0 (Februar 2024) hat die **Govern**-Funktion  hinzugefügt und den Geltungsbereich von kritischer Infrastruktur auf alle Organisationen erweitert.  Die Skill-Zuordnungen decken alle 22 Kategorien ab und referenzieren 106 Unterkategorien. 

</details>

<details>
<summary><strong>📊 Frameworks im Detail — ATLAS, D3FEND, AI RMF</strong></summary>

&nbsp;

### MITRE ATLAS v5.4 — Gegnerische Bedrohungen für KI/ML
ATLAS bildet gegnerische Taktiken, Techniken und Fallstudien ab, die spezifisch für KI- und Machine-Learning-Systeme sind. Version 5.4 umfasst **16 Taktiken und 84 Techniken**, einschließlich der Ende 2025 hinzugefügten Angriffsvektoren für agentische KI: Kontextvergiftung von KI-Agenten, Missbrauch von Tool-Aufrufen, Kompromittierung von MCP-Servern und Bereitstellung bösartiger Agenten. Die ATLAS-zugeordneten Skills helfen Agenten, Bedrohungen für ML-Pipelines, Modellgewichte, Inferenz-APIs und autonome Workflows zu erkennen und abzuwehren. 

### MITRE D3FEND v1.3 — Defensive Gegenmaßnahmen
D3FEND ist ein von der NSA finanzierter Wissensgraph mit **267 defensiven Techniken**, organisiert in 7 taktischen Kategorien: Model, Harden, Detect, Isolate, Deceive, Evict und Restore. Es basiert auf der OWL-2-Ontologie und nutzt eine gemeinsame Digital-Artifact-Ebene, um defensive Gegenmaßnahmen bidirektional mit offensiven ATT&CK-Techniken zu verknüpfen. Skills mit D3FEND-Identifikatoren ermöglichen es Agenten, konkrete Gegenmaßnahmen für erkannte Bedrohungen zu empfehlen.

### NIST AI RMF 1.0 + GenAI-Profil (AI 600-1)
Das KI-Risikomanagement-Framework definiert 4 Kernfunktionen — Govern, Map, Measure, Manage — mit **72 Unterkategorien** für die vertrauenswürdige KI-Entwicklung. Das GenAI-Profil (AI 600-1, Juli 2024) ergänzt **12 Risikokategorien** spezifisch für generative KI, von Konfabulation und Datenschutz bis hin zu Prompt-Injection- und Lieferkettenrisiken. Colorados KI-Gesetz (wirksam ab Februar 2026) bietet Organisationen, die das NIST-AI-RMF einhalten, einen **rechtlichen Safe Harbor**, was diese Zuordnungen für die regulatorische Compliance unmittelbar relevant macht.

</details>

## Kompatible Plattformen

**KI-Codeassistenten**
Claude Code (Anthropic) · GitHub Copilot (Microsoft) · Cursor · Windsurf · Cline · Aider · Continue · Roo Code · Amazon Q Developer · Tabnine · Sourcegraph Cody · JetBrains AI 

**CLI-Agenten**
OpenAI Codex CLI · Gemini CLI (Google) 

**Autonome Agenten**
Devin · Replit Agent · SWE-agent · OpenHands 

**Agent-Frameworks & SDKs**
LangChain · CrewAI · AutoGen · Semantic Kernel · Haystack · Vercel AI SDK · Jeder MCP-kompatible Agent 

Alle Plattformen, die den [agentskills.io](https://agentskills.io)-Standard unterstützen, können diese Skills ohne Konfiguration laden. 

## Was andere sagen

> *„Eine Datenbank echter, organisierter Sicherheits-Skills, die jeder KI-Agent direkt einbinden und nutzen kann. Keine Tutorials. Keine Blogbeiträge."* 
> — **[Hasan Toor (@hasantoxr)](https://x.com/hasantoxr/status/2033193922349179249)**, KI-/Tech-Creator

> *„Dies ist keine zufällige Sammlung von Sicherheitsskripten. Es ist eine strukturierte operative Wissensbasis, die für KI-gesteuerte Sicherheitsworkflows entwickelt wurde."* 
> — **[fazal-sec](https://fazal-sec.medium.com/claude-skills-ai-powered-cybersecurity-the-complete-guide-to-building-intelligent-security-7bb7e9d14c8e)**,  Medium

## Vorgestellt in

| Wo | Typ | Link |
|---|---|---|
| **awesome-agent-skills** | Awesome List (Index mit über 1.000 Skills) | [VoltAgent/awesome-agent-skills](https://github.com/VoltAgent/awesome-agent-skills) |
| **awesome-ai-security** | Awesome List (KI-Sicherheitstools) | [ottosulin/awesome-ai-security](https://github.com/ottosulin/awesome-ai-security) |
| **awesome-codex-cli** | Awesome List (Codex-CLI-Ressourcen) | [RoggeOhta/awesome-codex-cli](https://github.com/RoggeOhta/awesome-codex-cli) |
| **SkillsLLM** | Skills-Verzeichnis & Marktplatz | [skillsllm.com/skill/anthropic-cybersecurity-skills](https://skillsllm.com/skill/anthropic-cybersecurity-skills) |
| **Openflows** | Signalanalyse & -verfolgung | [openflows.org](https://openflows.org/currency/currents/anthropic-cybersecurity-skills/) |
| **NeverSight skills_feed** | Automatisierter Skills-Index | [NeverSight/skills_feed](https://github.com/NeverSight/skills_feed) |

## Stern-Verlauf

<a href="https://star-history.com/#mukul975/Anthropic-Cybersecurity-Skills&Date">
 <picture>
   <source media="(prefers-color-scheme: dark)" srcset="https://api.star-history.com/svg?repos=mukul975/Anthropic-Cybersecurity-Skills&type=Date&theme=dark" />
   <source media="(prefers-color-scheme: light)" srcset="https://api.star-history.com/svg?repos=mukul975/Anthropic-Cybersecurity-Skills&type=Date" />
   <img alt="Star History Chart" src="https://api.star-history.com/svg?repos=mukul975/Anthropic-Cybersecurity-Skills&amp;type=Date" width="100%" />
 </picture>
</a>

## Releases

| Version | Datum | Highlights |
|---|---|---|
| [v1.0.0](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/releases/tag/v1.0.0) | 11. März 2026 | 734 Skills · 26 Domänen · MITRE-ATT&CK- + NIST-CSF-2.0-Zuordnung · ATT&CK-Navigator-Ebene |

Die Skills auf `main` sind seit v1.0.0 weiter gewachsen — die Bibliothek umfasst inzwischen **817 Skills** mit **Zuordnung zu 6 Frameworks** (MITRE ATLAS, D3FEND, NIST AI RMF und das nach dem Release ergänzte MITRE Fight Fraud Framework). Unter [Releases](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/releases) finden Sie die neueste getaggte Version.

## Mitwirken

Dieses Projekt wächst durch Beiträge der Community. So können Sie mitwirken:

**Neuen Skill hinzufügen** — Domänen wie Deception Technology (2 Skills) und Compliance & Governance (5 Skills) brauchen am meisten Unterstützung. Folgen Sie der Vorlage in [CONTRIBUTING.md](https://github.com/mukul975/anthropic-cybersecurity-skills/blob/main/CONTRIBUTING.md) und reichen Sie einen PR mit dem Titel `Add skill: your-skill-name` ein.

**Vorhandene Skills verbessern** — Framework-Zuordnungen ergänzen, Workflows korrigieren, Tool-Referenzen aktualisieren oder Skripte und Vorlagen beisteuern.

**Probleme melden** — Ein ungenaues Verfahren oder ein defektes Skript gefunden? [Eröffnen Sie ein Issue](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/issues).

Jeder PR wird innerhalb von 48 Stunden auf technische Korrektheit und Konformität mit dem agentskills.io-Standard geprüft. Einen Einstiegspunkt finden Sie unter [Good First Issues](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/issues?q=is%3Aissue+is%3Aopen+label%3A%22good+first+issue%22).

Dieses Projekt folgt dem [Contributor Covenant](https://www.contributor-covenant.org/). Durch die Teilnahme erklären Sie sich bereit, diesen Verhaltenskodex einzuhalten. 

## Community

💬 [Discussions](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/discussions) — Fragen, Ideen und Gespräche zur Roadmap
🐛 [Issues](https://github.com/mukul975/Anthropic-Cybersecurity-Skills/issues) — Fehlerberichte und Feature-Anfragen
🔒 [Security Policy](https://github.com/mukul975/anthropic-cybersecurity-skills/blob/main/SECURITY.md) — Verantwortungsvoller Offenlegungsprozess (Bestätigung innerhalb von 48 Stunden) 

## Zitieren

Wenn Sie dieses Projekt in Forschung oder Publikationen verwenden:```bibtex
@software{anthropic_cybersecurity_skills,
  author       = {Jangra, Mahipal},
  title        = {Anthropic Cybersecurity Skills},
  year         = {2026},
  url          = {https://github.com/mukul975/Anthropic-Cybersecurity-Skills},
  license      = {Apache-2.0},
  note         = {817 structured cybersecurity skills for AI agents,
                  mapped to MITRE ATT\&CK, NIST CSF 2.0, MITRE ATLAS,
                  MITRE D3FEND, and NIST AI RMF}
}