桌面应用开发者工具人工智能AI 应用AI Agent代码智能体【免费下载链接】warpWarp is an agentic development environment, born out of the terminal.项目地址https://gitcode.com/GitHub_Trending/wa/warp点击查看免费下载本文以 Warp 开源仓库内 dogfood 渠道专属技能 triage-vulnerabilities 为蓝本系统讲解如何在 Warp 基础设施上跨 GitHub Dependabot、GCP Artifact Registry 容器扫描、Docker Scout 公共镜像扫描与 Linear 安全工单四个来源完成漏洞采集、去重与逐项修复。读完本文你将掌握一套可复制的 CVE 分诊命令集、去重方法论与修复决策框架并理解该技能在 Warp 仓库中的落地机制与约束边界。技能定位何时触发、覆盖什么范围该技能以标准 SKILL.md 形式组织YAML frontmatter Markdown 指令体结构规范与 create-skill 技能说明 中的描述一致frontmatter 中声明了技能名与触发描述技能名triage-vulnerabilities触发场景用户要求检查漏洞、分诊 CVE、修复依赖问题、更新基础镜像或补救安全告警时触发覆盖范围跨四个独立来源执行漏洞分诊与修复——GitHub Dependabot 告警、GCP 容器注册表扫描、Docker Scout 公共镜像扫描、Linear 安全工单。从仓库目录结构看该技能位于 resources/channel-gated-skills/dogfood/ 下属于dogfood 渠道独占技能。依据 resources/channel-gated-skills/README.md 的分发机制说明dogfood/门下的技能仅在 dogfood 构建中随应用捆绑local与dev渠道同样会包含dogfood/门技能而稳定就绪的技能则应放在 always-bundled 的resources/bundled/skills/目录构建阶段由script/copy_conditional_skills按渠道门禁拷贝。也就是说这是一份面向 Warp 内部基础设施运维场景的内部技能其命令与镜像/仓库名均为 Warp 实际环境中的资源。四大漏洞来源与数据采集命令1. GitHub Dependabot代码依赖告警已启用 Dependabot 的仓库为warp-internal、warp-server、warp-terraform、session-sharing-server。拉取某仓库的全部未处理告警返回 JSON 数组# All open alerts for a repo (returns JSON array) gh api /repos/warpdotdev/repo/dependabot/alerts?stateopen每个告警中需要关注的核心字段字段含义.number告警编号.state告警状态open 等.html_url告警页面地址.dependency.package.name受影响依赖包名.dependency.package.ecosystem包生态如 cargo、npm 等.dependency.manifest_path依赖清单文件路径.security_advisory.cve_id关联 CVE 编号可能为空此时用 GHSA ID.security_advisory.summary漏洞摘要.security_advisory.severity严重级别.security_vulnerability.first_patched_version.identifier首个修复版本号使用--jq输出紧凑的 TSV 汇总视图CVE/GHSA、包名、严重级、修复版本、清单路径gh api /repos/warpdotdev/repo/dependabot/alerts?stateopen \ --jq .[] | [.number, .security_advisory.cve_id // .security_advisory.ghsa_id, .dependency.package.name, .security_advisory.severity, (.security_vulnerability.first_patched_version.identifier // no fix), .dependency.manifest_path] | tsv这里的//是 jq 的空值回退运算符当cve_id为空时自动回退到ghsa_idfirst_patched_version缺失时输出no fix避免汇总表出现空列。2. GCP Artifact Registry 容器扫描内部服务镜像内部服务镜像位于us-east4区域跨两个 GCP 项目生产项目astral-field-294621warp-server、warp-server-jobs、warp-server-migrations、session-sharing-server、pgbouncer-rtc预发项目warp-server-staging上述同名仓库之外另含cloud-run-source-deploy扫描步骤分两步。先列出仓库内镜像、取得用于漏洞查询的 digest# List images in a repo (get digest for vulnerability query) gcloud artifacts docker images list \ us-east4-docker.pkg.dev/project/repo \ --include-tags --sort-by~create_time --limit5再对指定镜像查询漏洞列表按 digest 精确定位镜像不可变内容# List vulnerabilities for a specific image gcloud artifacts vulnerabilities list \ us-east4-docker.pkg.dev/project/repo/imagesha256:digest \ --formatjson重要原则只扫描每个仓库最新最近打 tag的镜像——旧镜像不再被部署其漏洞不具备可操作性扫描只会引入噪音。3. Docker ScoutDocker Hub 公共镜像针对warpdotdev/组织下的公共镜像。目前登记在案的仓库为dev-base可能有更多用docker scout repo list --org warpdotdev确认。仅列出 critical 与 high 两个严重级别的 CVE# List CVEs (critical and high only) docker scout cves warpdotdev/image --only-severity critical,high查询基础镜像升级建议# Check for base image update recommendations docker scout recommendations warpdotdev/imageDocker Scout 与 GCP 扫描存在重叠同一基础镜像漏洞可能被两边同时报出这正是后续去重步骤需要处理的核心场景。4. Linear 安全工单带Security标签的 Linear issue 用于跟踪其他工具未必自动上报的漏洞内部发现、人工分诊、组织级安全关注点。注意当漏洞在其他渠道如 Dependabot PR被修复时Linear issue 不会自动关闭因此跨来源间可能出现重复。查找未关闭安全工单通过 Linear MCP 工具调用# Use the Linear MCP to search for issues with Security label # Example query structure (use Linear MCP tool call): # - Search for issues with label: Security # - Filter for state: Backlog, Todo, In Progress (exclude Done, Cancelled) # - Return issue number, title, URL, and current status每个工单需要收集的有用字段Issue ID/编号如CLD-2726标题通常直接包含 CVE ID如warp-server-GHSA-8r9q-7v3j-jr4gURLLinear 上该 issue 的访问地址形如linear.app/warpdotdev/issue/CLD-2726/...状态Backlog / Todo / In Progress / Done / Cancelled描述包含 CVE 详情与受影响包信息。三步分诊工作流采集 → 去重 → 逐项修复Step 1采集四源数据用 TODO 全程跟踪查询四个来源并将结果写入临时文件作为后续去重与修复的依据临时文件内容dependabot_alerts.tsvCVE、包名、严重级、仓库、修复版本gcp_vulns.tsvCVE、严重级、包名、镜像、是否有修复scout_vulns.tsvCVE、严重级、包名、镜像linear_security.tsvIssue ID、CVE/标题、状态、URL务必为每个来源建立 TODO 跟踪条目确保四个来源全部查询完毕后才进入修复环节避免遗漏。Step 2按 CVE 去重同一 CVE 可能跨多个来源重复出现例如基础镜像漏洞同时被 GCP 扫描与 Docker Scout 报出或 Dependabot 告警被重复建成了 Linear issue。处理方式按CVE ID分组记录所有受影响来源与镜像当 Linear issue 只是重复跟踪某条已被其他渠道跟踪的漏洞时在记录中标注重复待底层修复落地后视为已解决。务必为每个唯一漏洞建立一条 TODO保证去重后的每个漏洞都有对应跟踪项。Step 3逐项修复一次只处理一个漏洞在确认所有来源都已查询并完成去重之后按严重级别从critical 开始逐项处理。任何修复动作之前都要先判断上游是否已有修复。a. 检查上游修复Dependabot 告警查看security_vulnerability.first_patched_versionGCP 扫描查看漏洞结果中的FIX_AVAILABLE字段Docker Scout用docker scout recommendations查看基础镜像升级建议外部兜底资源可参考 NVD 漏洞库的 CVE 详情页、GitHub Advisory Database 的公告页以及 distroless 基础镜像项目GoogleContainerTools/distroless的 issue 跟踪区确认上游修复进展。若上游尚无修复报告该漏洞并跳过。严禁自行关闭/忽略dismiss/deactivate告警——该操作只能由人类完成。b. 应用修复三类情形情形一Dependabot 已自动开 PR最简单。检查 Dependabot 是否已为该依赖创建 PRgh pr list --repo warpdotdev/repo --author app/dependabot --state open --json title,url若有 PR直接审阅并批准若没有则可能需要人工介入。情形二手动依赖升级。当 Dependabot 无法自动修复例如需要跨大版本升级时在对应清单文件Cargo.toml、go.mod、package.json等中手动升级依赖运行测试后提交 PR。需要把握的策略要点允许连带升级例如 PackageA 依赖了存在漏洞的 PackageB而采用修复版 PackageB 的 PackageA 新版本又要求更高版本的 PackageC则三个包可以一并升级优先升级直接依赖而不是追加 override——例如升级regex以带入已修复的传递依赖aho-corasick好过手工 override 传递依赖版本无直接依赖版本可携带修复时若直接添加 override 并不顺畅需结合漏洞严重级别与暴露面决定是否值得等待——不要盲目引入脆弱修复。情形三基础设施变更。针对容器镜像漏洞修复往往涉及升级基础 Docker 镜像例如修改Dockerfile中的基础镜像 tag升级 sidecar 镜像版本例如session-sharing-server中使用的 OpenTelemetry collector等待 distroless 基础镜像上游更新不可操作——报告后跳过。提交修复 PR 的规范PR 标题中包含本次修复的 CVE IDPR 描述中附上对应 advisory 的链接使用create-pr技能来创建 PR该技能在 skills-lock.json 中登记来源为warpdotdev/common-skills仓库的create-pr/SKILL.md说明它与本次分诊技能在技能体系中是配套使用的。c. 报告无法修复的漏洞对无可用修复的漏洞典型如等待 distroless 基础镜像上游更新报告内容需包含CVE ID 与严重级别受影响的包/镜像无修复可用的原因跟踪上游修复的位置对应 issue 或 advisory 链接。可建议人类在修复可用前先关闭该告警但绝不可自行 dismiss/deactivate。关键约束安全运维的纪律红线该技能明确划定了 AI 与人类在漏洞治理中的职责边界执行时必须遵守绝不 dismiss/deactivate 漏洞告警——只能由人类执行一次只处理一个漏洞——应用修复、验证通过后再处理下一个按严重级排序——critical high medium low先查生产项目astral-field-294621再查预发项目warp-server-stagingdistroless 镜像的修复依赖上游基础镜像更新不受 Warp 自身控制考虑依赖的实际使用方式——构建期工具中的漏洞其严重性低于生产运行中包里的漏洞应据此合理分配修复优先级。在 Warp 仓库中如何查看与使用该技能该技能文件本体位于 resources/channel-gated-skills/dogfood/triage-vulnerabilities/SKILL.md以纯 Markdown YAML frontmatter 编写无额外脚本依赖可直接阅读其指令全文。若想了解同类技能的组织方式可对照resources/channel-gated-skills/README.md解释dogfood/、preview/渠道门禁的分发规则以及为什么稳定技能应放在resources/bundled/skills/resources/bundled/skills/create-skill/SKILL.mdSKILL.md 的标准结构规范name与description为必需 frontmatter 字段description是技能触发的主机制skills-lock.json技能锁定清单确认create-pr等配套技能的存在与来源。需要强调的是该技能中的仓库名、GCP 项目 IDastral-field-294621、warp-server-staging、镜像清单均面向 Warp 内部实际基础设施外部使用者可将其视为一套如何为自家多来源漏洞体系搭建分诊工作流的参考范式命令骨架gh api、gcloud artifacts、docker scout、Linear MCP 查询与采集 → 去重 → 逐项修复 → 上报无解漏洞的方法论可以平移复用到任何同时存在代码依赖告警、容器镜像扫描与内部安全工单的团队。小结triage-vulnerabilities技能给出了一条高度工程化的漏洞治理流水线四源并行采集、以 CVE 为键去重、按严重级逐个修复、对无解漏洞规范化上报并用告警关闭仅限人类等硬约束守住安全操作边界。对 Warp 这类同时运行多语言服务、多容器镜像与多云基础设施的工程团队而言这套流程把零散的告警噪音收敛为可跟踪、可执行、可验证的修复单元——这也正是 Agent 化技能相比人工运维清单的核心价值所在。赞分享桌面应用开发者工具人工智能AI 应用AI Agent代码智能体【免费下载链接】warpWarp is an agentic development environment, born out of the terminal.项目地址https://gitcode.com/GitHub_Trending/wa/warp点击查看免费下载相关推荐V8 安全漏洞分诊实战基于 v8-security-triaging 技能的编排式安全分析工作流V8 安全漏洞分诊实战基于 v8 security triaging 技能的编排式安全分析工作流 导读 V8 是 Chromium 中负责执行不可信 Java语言运行时编译器JIT编译解释器内存管理Security-101 基础设施安全能力全解漏洞管理、CSPM 与 CNAPP 实战指南Security 101 基础设施安全能力全解漏洞管理、CSPM 与 CNAPP 实战指南 本文是 Security 101 开源网络安全入门课程第 6 模块网络安全教程文档RPCS3 PS3 模拟器装好、启动并加载你的第一个 PS3 游戏RPCS3 PS3 模拟器装好、启动并加载你的第一个 PS3 游戏 把《最后生还者》的 .iso 拖进游戏列表、双击图标两分钟后你已经在选难度了——这是 R网络安全教程文档创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考