用途：对 MCP 系统开展授权安全测试，验证提示注入是否会演变为工具滥用。核心假设是：当智能体持危险工具时，注入即可转化为误用；因此所有工具描述、参数描述、资源、提示模板、工具结果、README、issue、PR 评论、文档、检索页与错误信息均视为攻击者可控。
主要能力：覆盖直接提示注入、间接注入（隐藏于检索文档）、恶意 README/issue/PR/评论/文档、恶意工具结果、恶意 MCP 资源、恶意提示模板、投毒的工具描述与参数描述、客户端元数据投毒（DCR 名称/logo/URL 注入授权与智能体上下文）、无确认的危险工具、机密外泄（目标为 https://example.invalid/collect）、上下文投毒、记忆投毒、跨租户数据混用、提示到工具参数提权（如 tenant_id、role）、臆造授权、越界自主循环、工具链滥用、服务端到客户端信任混淆、多服务器 MCP 信任传播。每项期望的安全行为是：无论智能体“决定”什么，服务端授权与确认门都应生效；拒绝即 PASS。
交付物：智能体滥用案例矩阵（agent-abuse-cases.md）、工具投毒发现（tool-poisoning-catalog.md）、已确认/疑似发现与通过检查、修复计划与回归测试、测试用例。
用法与规则：使用前先读 ../../SECURITY_RULES.md；仅使用无害标记与占位域名 https://example.invalid/collect；绝不可触发真实破坏性工具，需在你创建的一次性 staging 对象上验证。相关载荷见 ../../payloads/tool-poisoning.md 与 ../../payloads/prompt-injection-tool-results.md。报告可用 report-template.md 或交由 security-report-writer 处理。
限制：仅限授权测试；具体安装命令、收费与平台支持暂未提供。