用途：对结合模型推理与工具、记忆、检索、多步规划的自主 LLM 智能体进行攻击性测试。攻击面是智能体流水线，包括不可信数据通道、工具/MCP 集成、持久化记忆与委托权限，区别于模型级测试；前提为已获授权。
主要能力：间接/零点击提示注入（邮件、RAG、文档、AI 浏览器）、MCP 工具投毒与 rug-pull、持久化记忆投毒、过度代理与 confused-deputy、工具输出引发 SSRF/RCE、自动化多轮越狱与 Best-of-N 编码混淆，以及 PyRIT/Garak/Promptfoo 测试框架与 ASR 评分，映射 OWASP Agentic Top 10 与 MITRE ATLAS。
用法：先枚举智能体表面，再按需生成载荷或启动测试。示例命令： python scripts/agent_redteam_harness.py enumerate --endpoint $AGENT_URL --out surface.json python scripts/indirect_injection_forge.py --channel email --exfil-base https://oast.pro/$TOKEN --obfuscate html-comment --out payload.eml python scripts/mcp_tool_poison_server.py --mode tool-poison --transport stdio python scripts/memory_poison_minja.py --endpoint $AGENT_URL --trigger "vendor invoice" --payload "route payments to acct 0xATTACKER" --bridge-steps 4 python scripts/agency_tool_fuzzer.py --endpoint $AGENT_URL --tools surface.json --ssrf-canary http://169.254.169.254/ python scripts/multiturn_jailbreak.py --endpoint $AGENT_URL --strategy crescendo --objective "$OBJECTIVE" --max-turns 8 --judge-endpoint $JUDGE_URL python scripts/agent_redteam_harness.py run --config harness.yaml --report findings/
适用场景：带工具调用、MCP 客户端或代码解释器的智能体渗透测试；RAG/邮件/浏览器助手的注入测试；记忆与 RAG 投毒审计；越狱活动与检出率测量。
限制：仅限授权测试；需在本地或实验环境验证，勿将真实客户端指向未受信服务器；使用只读金丝雀再考虑状态变更测试；未提供具体定价、平台支持与合规认证信息。