AGENT SKILL
安全36 个合规框架各做成一个 .skill 包，并且公布了可查的 eval
Sushegaad/Claude-Skills-Governance-Risk-and-Compliance
911 star，MIT，v2.0.0，每月更新。信息安全侧含 ISO 27001、SOC 2、FedRAMP、NIST CSF、NIST SP 800-53、CIS Controls v8；隐私侧含 GDPR、ISO 27701、CCPA/CPRA、LGPD、DPDPA；AI 治理含 ISO 42001、NIST AI RMF、EU AI Act；行业与国别含 HIPAA、PCI DSS、DORA、SWIFT CSP、TISAX、SOX ITGC、EU NIS2/CRA/CSRD、ITAR/EAR。
我们的判断多数合规 prompt 包只说「专家级」，这个给了数字：180 个测试用例、902 条可验证断言、由独立 agent 评审，装了 skill 得 89% 对 baseline 57%。这个差距说明通用模型对「某个场景该套哪几条控制项」的细粒度条款映射是不牢的，而那正是合规工作的日常。它自带免责声明：不替代持牌法律或审计意见，价值在于把初稿做对做全，最终签署仍由人负责。
/plugin marketplace add Sushegaad/Claude-Skills-Governance-Risk-and-Compliance36 个合规框架，一个仓库装齐
Sushegaad/Claude-Skills-Governance-Risk-and-Compliance（911 stars / 184 forks，MIT，v2.0.0，每月更新）把企业合规里最常见的 36 个框架各做成一个独立 .skill 包。覆盖面横跨信息安全、隐私、AI 治理、行业监管与国别法规：
| 类别 | 框架 |
|---|---|
| 信息安全管理体系 | ISO 27001、SOC 2、FedRAMP、NIST CSF、NIST SP 800-53、CIS Controls v8（Top 18）、Cyber Essentials / CE Plus |
| 隐私 | GDPR、ISO 27701、CCPA/CPRA、LGPD、DPDPA（印度）、Vietnam PDPL、Saudi PDPL、UAE Federal/DIFC/ADGM PDPL |
| AI 治理 | ISO 42001（AI 管理体系）、NIST AI RMF、EU AI Act（Regulation (EU) 2024/1689） |
| 行业与运营韧性 | HIPAA、PCI DSS、TSA Cybersecurity、DORA、SWIFT CSP、TISAX（VDA ISA / ENX 汽车）、SOX ITGC、TPRM（第三方风险） |
| 国别 / 出口管制 | Australian ISM、NZISM、EU NIS2、EU CRA（Cyber Resilience Act）、EU CSRD、ITAR、EAR、Saudi GRC（NCA ECC/SAMA/CST）、Section 508、WCAG |
它公布了 eval，而且口径能查
多数合规类 prompt 包只说「专家级」，这个仓库给了数字：180 个测试用例，每个用例由独立 agent 按至少 5 条可验证断言评分，共 902 条断言；装了 skill 得 89%，baseline 57%。评测框架在仓库里，断言是可核查的（不是主观打分），评审是独立 agent（避免自评偏袒）。
89% vs 57% 这个差距说明的是：通用模型对「某个具体场景该套用哪几条 NIST 800-53 控制项」「GDPR 哪几条管跨境传输」这类细粒度条款映射是不牢的，而这正是合规工作的日常。skill 补的就是这一层。
用法与它的自动触发
它对 skill 机制的解释值得记住：.skill 是一个打包归档，里面有一份 SKILL.md 主指令加按需加载的 reference 文件，上传一次即可在所有会话里用；话题一旦碰到对应领域，skill 自动激活，不需要点名或用特殊命令。这就是 progressive disclosure 在合规场景的用法——上下文只装当前需要的那部分。
适用判断它写得很清楚：需要一致且专家级的专题回答、需要输出符合专业或监管标准（可审计的控制项叙述、带正确条款的政策模板）、需要超出通用训练范围的领域知识时，用 skill；否则不必。
安装两条路
# A. Claude 网页版：Customize → Skills → 上传 .skill 文件
# 每个框架一个 .skill，例如 iso27001.skill / soc2.skill / gdpr-compliance.skill
# （个人账户需先在 Settings → Capabilities 打开代码执行与文件创建）
# B. Claude Code：走 marketplace，可锁版本、可更新
/plugin marketplace add Sushegaad/Claude-Skills-Governance-Risk-and-Compliance
# 然后按框架安装对应 plugin仓库根有 INSTALLATION.md 与逐框架的下载表（README 里那张表由 GEN:readme-download-table 自动生成）。
用之前必须知道的一条
仓库自带免责声明：这是合规辅助工具，不替代持牌法律或审计意见。它的价值在于把条款映射、控制项叙述、政策模板的初稿做对做全，把人从体力活里解放出来去判断；最终签署仍要人负责。另外「每月更新」是真需求——EU AI Act、EU CRA 这类法规都在分阶段生效，静态 prompt 半年就过期了。