用途
pentest-verification（验证铁律）是全系统最高规则，主要用于渗透测试过程中的事实写入与漏洞确认环节，防止将未经证实的线索误判为漏洞，或产生无证据支撑的推测性结论。其目标场景包括：编写项目事实（Fact）、校验测试发现（finding）、避免模型幻觉。
主要能力与规则
该技能定义了一套验证约束，具体包括：
-
搜索结果不等于漏洞：公开情报或 PoC 线索不可直接用于 record_vulnerability，也不可写 confidence=confirmed。可将其写为 tentative 的 note 或 finding 线索，或仅保留为本轮待验证方向，待验证后再落库。
-
confirmed Fact 必须附证据：每个 confirmed Fact 必须在 body（或关联漏洞 POC）中附上验证证据，例如命令输出、HTTP 响应、文件内容或回连记录。
-
禁止空泛推测：不得使用“可能、疑似、推测 XX”之类表述。要么确认并附证据写入 Fact 或漏洞，要么以 tentative 标明线索，要么不报。
-
验证失败也要落库：验证失败时应写入负结果 Fact，例如“测了 XX，无可利用漏洞”，使用 upsert_project_fact 落库，以防止重复尝试。
-
想象力拉满，单步验证零容忍：鼓励大胆构想全网无人串联过的攻击链，但每一段都必须用真实证据钉死之后才能标记为 confirmed。
使用方式
在渗透测试工作流中，当需要写入项目事实、校验测试发现或判断是否可以将某条线索升级为 confirmed 状态时，引用本规则进行约束。涉及漏洞记录时使用 record_vulnerability，涉及事实落库时使用 upsert_project_fact。与黑板工具的配合方式参见 pentest-blackboard。
适用场景
适用于渗透测试项目的验证环节，尤其是需要区分 tentative 线索与 confirmed 事实、避免幻觉输出、记录负结果以防止重复劳动的场合。
限制
资料中未提供该技能的具体安装命令、平台支持范围、收费方式或其他技术依赖信息，暂未提供。