利用 AI 从威胁模型中提取可执行的安全需求
解决安全分析到工程落地的断层问题：通过 AI 将抽象的威胁模型（Threat Models）转化为开发者可执行的安全需求、用户故事和验收标准。
为什么需要这个技能
在安全审计或威胁建模过程中，分析结果往往是“可能存在 SQL 注入风险”或“缺乏有效的权限校验”等描述性结论。这类结论对开发人员来说太笼统，难以直接转化为代码实现。
该技能通过结构化的提取流程，将这些“威胁点”映射为具体的功能需求（如：必须在 API 层实现参数化查询）和可验证的测试用例。这样可以将安全风险量化为具体的开发任务，确保安全策略在软件开发生命周期（SDLC）中真正被落地，而不是停留在文档中。
适用场景
- 威胁模型转换：将 STRIDE 等威胁分析结果转换为具体的开发需求清单。
- 编写安全用户故事：为敏捷开发创建包含安全约束的 User Story。
- 构建安全测试用例：根据识别出的风险点，自动生成对应的安全验收标准（Acceptance Criteria）和测试步骤。
- 合规性映射：将外部合规标准（如 GDPR, PCI-DSS）映射为内部的技术实现需求。
- 架构文档补全：在安全架构设计文档中自动生成需求矩阵。
核心工作流
- 上下文输入：提供当前的业务背景、系统架构图、威胁模型分析结果或合规性要求。
- 需求推演：AI 分析潜在威胁，并根据最佳实践（如 OWASP 准则）将其转化为“必须/应该”实现的具体安全功能。
- 可验证性定义：为每个提取的需求定义验收标准，确保安全控制措施可以通过测试用例进行验证。
- 模式匹配与验证：参考
resources/implementation-playbook.md中的既有模式，对生成的需求进行一致性校验，确保不遗漏关键的安全维度。
下载和安装
下载 security-requirement-extraction 中文版 Skill ZIP
解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。
你可能还需要
暂无推荐