用途：用于规划或主导经授权的企业对手模拟（假定失陷、全范围红队、紫队演练），把威胁情报与业务风险转化为红队目标，并用 MITRE ATT&CK 框架选择与排序 TTP（含技术编号与检测预期）。
主要能力：起草交战规则、范围、OPSEC 约束与紧急停止流程；协调紫队演练并与蓝队/SOC 做检测验证；产出高管叙事、攻击路径故事与面向防御方的修复交接；沉淀经验用于检测工程、桌面推演与控制改进。
核心流程：1）范围、授权与 OPSEC——必须有书面授权与明确范围，确认已签署 SOW/ROE（资产、方法、时间窗、联系人、法律约束），定义目标与成功标准、范围外事项，建立 OPSEC 与紧急停止、升级、紫队可见性规则。2）战役规划与目标——将威胁行为者或情报映射到相关 TTP，构建含阶段、注入、决策点的战役时间线。3）TTP 选择与执行协调——按目标→ATT&CK 映射→剧本→专家执行→证据与时间线推进，维护操作日志（UTC 时间戳、技术编号、主机/账号、结果、是否观测到检测），在约定影响处停止并按 ROE 清除持久化与测试痕迹。4）紫队与检测验证——预通报蓝队预期遥测与安全观察窗口，记录检测缺口（漏检阶段、告警延迟、严重度错误），向检测工程与 SOC 交接建议。5）报告与修复交接——交付高管摘要、技术时间线、ATT&CK 热力图、检测矩阵、优先级修复与蓝队行动，对关键缺口安排复测或紫队重跑。
适用场景：授权企业对手模拟、威胁情报驱动的目标设定、紫队演练与检测验证、红队治理与报告。
限制与边界：不得在无书面授权与范围下操作；不用于越狱 LLM、提示注入、RAG/工具滥用或 AI 安全测试（应使用 ai-redteam）；不以 Web/API OWASP 测试或网络/AD/基础设施渗透为主要交付（分别使用 web-pentester、network-pentester）；不用于标准渗透测试流程、SOC 告警分诊、非模拟的主动威胁狩猎、事件响应指挥或企业安全战略与 GRC 路线图。具体参考文档路径与命令资料未提供。