该技能用于在获得授权的前提下开展外部侦察：红队交战、范围内漏洞赏金、攻击面管理（ASM），或对人物、实体、威胁行为体进行有证据纪律的调查，也支持追踪加密货币流向、媒体地理定位、图像与视频取证、事件时间定位，以及构建可复现、可分级、可交付的 OSINT 行动。
主要能力围绕五阶段外部红队侦察流水线展开：阶段一“种子发现”确定目标身份（WHOIS、ASN 枚举、DNS 记录、根域证书透明日志历史）；阶段二“资产扩展”从被动来源优先枚举子域与资产；后续阶段覆盖暴露面与攻击路径梳理。技能提供 TENTATIVE / FIRM / CONFIRMED 三级置信度，并要求“三法则”归因：三条独立弱信号，或一条强信号加一条弱信号，方可断言关联；同时给出各资产类型（子域、IP、Web 应用、邮箱、存储桶、端点、凭据、人物、仓库、移动应用、证书、SSO 租户）从 TENTATIVE 升级到 FIRM、再到 CONFIRMED 的判定条件。
输出层面规定统一发现格式：id、module、asset_key、category、severity、confidence、title、description、evidence（url、UTC 时间戳、sha256、截断至 2 KiB 的原始内容）、references、remediation，便于直接落入资产管理工具。证据卫生要求记录 URL、UTC 时间戳、SHA-256、工具版本与 run_id，使用 JSONL 日志，证据只读、不修改原始捕获物，优先引用 CVE、厂商公告、ATT&CK 编号等持久来源，临时来源需先归档。
使用限制明确：仅限自有或书面授权资产；授权不明确时先做一次范围确认。无论是否授权，都不削弱目标侧安全控制，不在 DEEP / --aggressive 模式之外运行破坏性探测（生产真 SYN 扫描、线速 masscan、模糊测试或暴力破解），不把真实 PII、有效凭据、会话令牌、API 密钥等秘密粘贴到云端 LLM 或第三方服务，不对范围外资产（子公司、供应商、员工个人账号）采取行动。凭据验证仅限只读端点（如 /me、/whoami、auth.test、sts:GetCallerIdentity），不得创建、修改、删除或发送。明确不涵盖主动利用、后渗透、横向移动、AD 提权、恶意软件开发，也不涵盖蓝队检测工程。技能包含 OpSec 内容：伪装账号、浏览器隔离、可检测性标签（低/中/高）、检测迹象识别与回退阶梯（降速、换端点、换身份、换 IP、暂停、上报），并强调轮换需记录时间与理由。具体工具命令与配套技能清单未在本资料中完整提供。