该技能用于在 agent-studio 框架中编写 YARA-X 检测规则，采用 Trail of Bits 的 YARA 编写方法论。YARA-X 是 Rust 版 YARA 后继者，性能与内存安全性更好，并支持新模块。适用于为恶意软件样本创建检测规则、构建威胁狩猎规则、将旧版 YARA 规则转换为 YARA-X 格式、优化现有规则性能与准确率，以及审查规则质量。
主要能力：提供规则结构模板与必需元数据字段（author、date、description、reference、hash、tlp、score）；讲解十六进制、文本和正则模式的最佳实践，如使用跳转、交替、fullword 和避免单字节原子；介绍原子分析，用 yr debug atoms 检查原子质量，推荐 4 字节以上固定字节；说明性能排序的条件逻辑与常见条件写法；给出恶意软件家族、攻击技术、加壳器三类规则示例。
使用方式：默认使用 YARA-X 的 yr CLI，包括 yr scan、yr check、yr debug atoms、yr fmt；部署前需运行 yr check 检查语法、yr debug atoms 分析原子，并对正负样本测试以测量误报率。
限制与注意：规则必须包含完整元数据；避免以 00、FF、90 等常见字节开头或单字节原子；条件中先做文件类型与大小等廉价检查；短字符串慎用 nocase；正则性能低于字面量，二进制内容优先十六进制模式；旧版 yara/yarac 工具仅在需向后兼容时使用。技能强调无测试不部署，并建议与二进制分析、内存取证、变体分析等技能配合使用。