用途：该技能用于处理威胁情报案件（CTI case），以确定性的方式（资料明确说明“不依赖 LLM”）跑完一轮流程：采集 → 写入知识库 → 查找重叠指标 → 风险评估 → 聚类。资料称其命令行形式等价于 /cti-case、/cti-cluster、/cti-recall。
主要能力与产出：运行结果生成 intel_engine/cases/<CASE-ID>/ 目录，内含 raw/*.json、graph、report；知识库位于 intel_engine/knowledge/。pipeline 包含四个子命令：open、loop、clusters、status。open 支持 --jobs（并行采集）、--whois-reverse（反向 WHOIS，消耗 WhoisXML DRS 额度）、--fofa-full（全历史 FOFA 反查）、--serp（Google Ads Transparency 广告透明度线索，每 host 一次 SerpApi 搜索）、--render-extract / --render（JS 渲染后提取，需要 playwright）、--archive（保存证据）、--no-pssl / --no-graph / --no-report、--force 及报告元数据参数。资料注明即便不加 --serp，免费的 cloaking 探测仍会运行。
使用方式：先写种子文件（每行一个域名/URL），用 --dry-run 预览命令后再执行 pipeline open；随后可用 status 查看已保存输出、frontier 列出免费且尚未执行的下一步种子与因成本被推迟的线索、loop 迭代至收敛、reopen 在有新种子时重开冷案。聚类命令 clusters 不采集数据，而是把已有案件拆成同一运营者的组成部分，资料建议在得出结论前运行。KB 查询包括 kb --stats、recall、kb --entity、kb --cluster、kb --shared 等；资料说明 --strong 会剔除模板化 edge 及出现在超过 --max-prevalence（默认 8）个域名上的指标，以减少误关联。
数据管理与误报控制：ingest 将 webpivot 输出写入 KB，ingest-rwhois 导入反向 WHOIS 结果，hypothesize 对“同运营者”假设排序，risk 评估 NRD / bulletproof hosting / money trail，clean 清理 KB，export-graph 导出图谱；noise 判断是否为共享基础设施，reference check/add 维护已验证的误报登记簿。
路径规则：资料强调所有案件必须位于 $INTEL_HOME/cases/<CASE-ID>/（即 intel_engine/cases/），CLI、pipeline 与 MCP server 均解析到该路径；不应在仓库根目录创建 cases/ 或自行传入 -o cases/…，否则 kb_ingest 读不到数据，相关性分析会在空集上运行并报告“no shared indicators”。若出现“no raw pivot JSON in …”，资料说明是路径写错而非 bug。
LLM 路径：harness open/continue/status 与 tool-calls 命令，其中 tool-calls 读取审计日志以核验模型实际调用了什么；资料明确标注该路径“尚未实际运行，需要 .venv”。
限制：资料未提供安装命令细节、运行环境要求（除 playwright/.venv 提及外）、收费与授权信息。