用途：面向 AI Agent 的 Linux 服务器安全入侵检测与取证，用于判断服务器是否被入侵、安全审计、恶意软件检测与安全事件响应。
主要能力：覆盖 12 大检测类别、51 个安全分析器、10 个数据采集器，映射 103+ MITRE ATT&CK 技术。检测范围包括进程异常（隐藏进程、反弹 Shell、代码注入）、网络异常（C2 通信、DNS 隧道、DGA 域名）、认证与凭据（SSH 后门密钥、暴力破解、PAM 后门）、持久化机制、Rootkit、恶意软件、内存取证、文件系统（SUID/SGID、Webshell）、横向移动、容器/K8s 等。采用只读采集，不修改系统文件，仅写入 workspace。
使用方式：首次运行需申请权限：cd /data/sec-inspect && sudo python3 scripts/setup_permissions.py --auto；环境初始化：cd /data/sec-inspect && sudo bash scripts/setup.sh；执行扫描：cd /data/sec-inspect && sudo python3 -m scripts.main --output-dir /data/sec-inspect/workspace。报告输出到 workspace/{YYYY-MM-DD}/report/，含 Markdown 主报告、JSON 结构化数据、攻击链分析与执行日志。扫描后须执行反思流程再汇报。
适用场景：服务器是否被入侵、安全审计与合规检查、可疑进程/文件/网络连接排查、后门木马挖矿 Rootkit Webshell 等关键词触发、安全事件响应与取证、误报判断。
限制：需 x86_64 架构、Linux（glibc 2.17+）、Python >= 3.11、root(sudo) 权限；扫描无需联网，缺少 Python 3.11 时需下载约 30MB。性能约束为快速扫描 < 90s、完整扫描 < 10min、单核 CPU < 50%、内存 < 200MB，高负载时自动退出（可用 --force 跳过）。支持 Claude Code、QoderCLI、OpenCode、Windsurf、Cursor、Gemini CLI、Trae。采用 MIT License。