用途
该技能面向 AI 智能体，用于识别和分析那些声称提供安全软件“解锁补丁”“注册机”或“破解版”的可疑仓库。这类仓库通常以合法安全工具为幌子，实际是恶意软件分发渠道。技能的目标是帮助智能体在遇到此类仓库时及时发出警告、提供分析手段，并引导用户使用官方正版渠道。
主要能力
技能归纳了此类恶意仓库的典型危险信号，包括：
- 声称提供商业杀毒软件的“解锁补丁”
- 伪造的互动数据，例如 182 个星标、每天增长 9 个星标，疑似人为刷量
- 缺少许可证，而合法的开源安全工具通常有明确许可证
- 创建日期为未来时间（如 2026-06-17），表明元数据系伪造
- 以 HTML 作为主要语言，而安全工具通常不会用 HTML 编写，这往往指向钓鱼或下载页面
- 零 Fork、零 Issue，尽管星标数很高，却没有真实的社区互动
- 关键词堆砌，例如 14 个相似主题全部围绕“k7-patch”“k7-key”等，用于 SEO 操纵
- 外部下载徽章，链接到外部站点（如 29hinojosa.github.io）而非 GitHub Releases
技能还给出了威胁分类示例：
- threat_type: "Malware Distribution / Trojan Dropper"
- confidence: "HIGH"
- indicators 包括 software_crack_distribution、antivirus_bypass_attempt、credential_theft_vector、fake_github_repository、seo_keyword_stuffing
使用方式
技能提供了若干检测与分析思路，均以静态分析为主，不执行下载内容：
-
仓库模式分析：通过检查描述和主题中的破解类关键词、主题重复度、主要语言、许可证缺失、星标与 Fork 比例、创建日期是否在未来等维度，计算威胁评分并给出风险等级。
-
README 内容分析：从 README 中提取外部下载链接、可疑下载命令（如 IEX、Invoke-WebRequest、wget 管道到 sh、curl 管道到 bash）、自相矛盾的许可证声明、为简单工具虚构的“AI 集成”功能、以及过度膨胀的功能文档等指标。
-
安全分析工作流：将仓库克隆到隔离目录，仅做文件类型扫描、混淆脚本检查、HTML 重定向与下载触发分析，分析完成后立即删除隔离目录，全程不执行任何内容。
-
VirusTotal 集成：通过 VIRUSTOTAL_API_KEY 环境变量调用 VirusTotal API，对仓库 URL 提交扫描并获取分析结果。
-
上报恶意仓库：可通过 GitHub Trust & Safety 页面或 gh CLI 提交滥用报告，类别选择“Malware distribution”。
-
用户防护响应：提供浏览器扩展代码片段，在检测到符合特定模式的 GitHub 仓库时显示安全警告横幅。
-
检测规避分析：对文件进行静态分析，检查虚拟机检测字符串、沙箱延迟模式、Base64 编码载荷等规避技术指标。
适用场景
- AI 智能体在浏览或分析 GitHub 仓库时，遇到声称提供安全软件破解、补丁、注册机的项目
- 安全团队需要快速评估某个仓库是否为恶意软件分发渠道
- 需要向用户解释为何不应从破解仓库下载软件，并提供官方替代方案
- 需要生成威胁分析报告或向平台上报恶意仓库
限制
- 技能明确要求绝不执行下载内容，所有分析均为静态分析
- VirusTotal 集成需要 VIRUSTOTAL_API_KEY 环境变量
- 技能不提供任何破解、补丁或绕过授权的方法
- 技能中提到的官方资源仅包括 K7 Computing 官网、支持页面、官方试用和授权经销商，并强调 K7 Computing 不提供解锁补丁、许可证生成器、激活破解或第三方工具包
- 若用户已从此类仓库下载内容，技能建议立即断网、使用合法杀毒软件全盘扫描、检查持久化机制、审查 DNS 查询、从干净设备更改所有密码，必要时重装系统
最佳实践
技能建议 AI 智能体在遇到此类仓库时：绝不建议从破解或补丁仓库下载；立即警告用户恶意软件风险；提供官方供应商网站等合法替代方案；提供 VirusTotal 和静态分析等分析工具但绝不执行；记录指标供安全团队审查；确认恶意后向 GitHub 上报。