用途
这是一个仅使用开源工具（OSS-only）的统一网络安全技能，用于分析、测试和加固软件安全。它填补了仓库中已有 5 个防御型插件（csrf-protection、xss-prevention、vulnerability-scanning、security-headers-configuration、defense-in-depth-validation）的空白：那些插件告诉你如何修复，本技能告诉你如何发现、分析和威胁建模。
主要能力
- 威胁建模：STRIDE / PASTA / VAST、MITRE ATT&CK 映射、攻击面分析。
- Web/API 漏洞测试：XSS（反射、存储、DOM）、业务逻辑缺陷（价格操纵、竞态条件、工作流绕过、权限提升）、Host 头注入（密码重置投毒、缓存投毒、经 Host 的 SSRF、vhost 绕过、请求走私）、开放重定向、强制浏览 / 认证强制校验、SSRF、CSRF。
- 代码审计 / SAST / 安全代码审查（任意语言），包括 Semgrep、多智能体审计、基于证伪的扫描、双轨 SAST。
- AI / LLM 应用安全：提示注入、OWASP LLM Top 10、智能体安全、“vibe-coded”应用审计。
- 检测工程：Sigma 规则、MITRE ATT&CK 覆盖 / 差距分析、ATT&CK Navigator 图层。
- 事件分析与响应推理（勒索软件、入侵、异常分诊）。
- 合规工作：OWASP、CVE、GDPR / SOC2 / ISO27001。
- 将付费安全工具替换为开源替代方案。
- 将发现映射到修复模式（交叉引用 5 个防御插件）。
使用方式
该技能是路由器（ROUTER）和调度器（DISPATCHER），不是执行器。主上下文保持为轻量编排器。对每个参考文档，编排器派发一个专用子智能体，携带用户任务和匹配的参考文档作为简报。主上下文从不内联参考文档正文。
子智能体派发契约：编排器确认授权门控（若为真实目标）、派发子智能体（包含任务、简报、模型、工具、返回契约）、逐字转达子智能体输出。
对于“审计一切”类请求，编排器并行派发多个子智能体（代码审计、XSS、业务逻辑、AI 应用等），授权门控在批次开始前触发一次。
路由表将任务措辞映射到对应参考文档，例如：分析事件 / 威胁建模 → analyst-reasoning.md；测试业务逻辑 → testing-business-logic.md；测试 XSS → testing-xss.md；测试 Host 头注入 → testing-host-header.md；测试开放重定向 → testing-open-redirect.md；强制浏览 → testing-forced-browsing.md；检测规则 → detections-mcp.md；修复映射 → defensive-cross-refs.md；付费工具替换 → oss-tool-map.md；代码审计 → aradotso-code-audit.md；智能体安全 → aradotso-agent-safety.md；合规 → aradotso-compliance.md；Web 漏洞测试工具 → aradotso-web-vuln-testing.md；AI 应用安全 → aradotso-ai-security.md。
授权门控
该技能使用开源攻击性工具（ffuf、nuclei、OWASP ZAP、dalfox、interact.sh、mitmproxy）。对真实主机运行这些工具需要用户授权。
- 静态工作 — 无门控（Track A）：代码审查、SAST、威胁建模、安全设计审查、检测规则编写、开源工具安装和模板 / 帮助阅读、参考查询。始终允许，立即进行。
- 真实目标工作 — 门控（Track B）：任何向真实 URL/IP/主机发送请求的任务。对 URL 调用工具即属 Track B，即使被表述为“设置”或“配置”。
当用户要求测试真实目标时：在主上下文中评估门控（加载 authorization-disclaimer.md 并向用户呈现）、等待明确确认（“yes”、“i confirm”、“ack”）、仅在确认后继续。确认按会话和按目标范围有效。门控绝不委托给子智能体。若用户拒绝或目标在红旗清单上，编排器停止、解释原因并提供 Track A 替代方案。
红旗 — 无论是否确认均拒绝：DoS / 容量攻击请求、针对第三方的凭据填充、真实用户数据外泄、政府 / 关键基础设施目标、社会工程目标。
适用场景
当用户任务涉及软件安全时使用，触发条件包括：Web/API 漏洞测试、代码审计 / SAST、威胁建模、事件分析与响应、检测工程、AI/LLM 应用安全、合规工作、替换付费安全工具、将发现映射到修复模式。
限制
不适用于：仅 IT/基础设施安全运营（服务器打补丁、防火墙规则）、恶意软件分析 / 二进制逆向工程、智能合约 / 区块链安全（超出智能体安全审查范围）。永久排除的主题：恶意软件、病毒、supabase、openclaw、linux 加固、硬件欺骗、防火墙配置。
该技能仅使用开源工具。付费工具（Burp Suite、Nessus、Splunk、CrowdStrike、SonarQube、DOM Invader、Hackvertor、XSS Hunter）仅作为“如果你已有”的备注出现，绝不作为主路径。
常见错误：将参考文档内联到主上下文；在门控触发前派发真实目标子智能体；推荐付费工具作为主路径；在压力下软化门控；总结掉子智能体输出。
不提交或推送 — 文件仅落在工作树中，由用户审查并提交。