用途：该技能聚焦 RAG 管线的向量存储与检索层本身的安全弱点（OWASP LLM08 向量与嵌入弱点），即不依赖提示注入载荷、问题出在嵌入向量的存储、隔离与搜索方式上的缺陷。它先继承 hunt-llm-ai 的误报门控（连跑两次规则、锚定已知密钥、跨租户需可验证证据而非断言、外带须实际发生），并额外补充向量层专属门控。
主要能力（四类技术）： 一、持久化语料投毒。上传含隐藏指令的文档（藏于同色文字或页脚/元数据），并将其嵌入常见无关主题文本中以扩大检索面；待摄入后，从另一个干净会话以普通问题触发检索，确认外带回调或注入行为出现。仅上传者按文档名自问可复现不算，那属会话级注入。 二、跨租户向量库 IDOR。多数应用仅在应用层做租户隔离，向量库本身没有。可直接探测向量库端口（Chroma :8000、Weaviate :8080、Qdrant :6333、Milvus :19530、Elasticsearch/OpenSearch kNN、暴露的 pgvector），或操纵客户端可控的文档 ID/namespace 参数。命令示例：curl -s http://$TARGET:8000/api/v1/heartbeat；curl -s http://$TARGET:6333/collections；Weaviate GraphQL 查询。无凭证返回真实内容即为未授权全量读取，本身即严重。 三、源文本/元数据泄露。RAG 通常将原始分块文本与向量一同存储，任何暴露“相似结果/来源”的接口即暴露原文；需与真正的嵌入反演区分，后者需专门解码模型，除非实际演示可读文本，否则按研究级处理。 四、检索劫持（RAG 版 SEO 投毒）。在无白盒模型访问时无法做梯度优化，但可通过高密度重复目标主题常见查询词，在多个不同措辞查询下挤入 top-k；单独演示仅为中等，须结合 LLM 对劫持上下文的行为评分。
严重度：未授权向量库 API 暴露全量语料为严重；已验证的跨租户文档检索、到达第二干净会话的持久化投毒为高至严重（依赖链条）；仅本租户的源文本泄露为低至中；无后续影响的检索劫持为中（无链条则仅信息级）。
适用场景与限制：仅限授权渗透测试与安全评估；须遵守误报门控（第二次独立会话、可验证的跨租户证据、区分反演与元数据泄露、检索劫持需链条）。本技能不提供具体目标、凭证或未授权用法，实际可用性取决于目标架构与授权范围。