用途：指导端到端撰写一个新的 SecSkills 技能，从选择插件与技能层级，到撰写正确的触发描述、正文结构、ATT&CK 映射、eval 用例与验证，最后交由验证环节。
主要能力与要点： 选择插件：技能只属于一个插件。secskills-offense 承载利用与攻击者手法；secskills-defense 承载 DFIR、狩猎、检测、情报与响应；secskills-core 承载逆向、代码/密码/供应链审查、AI 安全、ATT&CK 映射与报告等双用途内容。两者皆可时选 core，跨插件引用会降级为惰性文本，不应为避免引用而复制技能。 选择层级：domain 技能覆盖整个领域、按宽泛自然语言请求触发，应少且不重叠；procedure 技能针对罕见、精确、难以从通用知识恢复的目标与工具链组合，须窄。每个 procedure 技能都应可从其 domain 技能到达，domain 需加入识别检查与路由行；procedure 完成后要交回并指明继续工作的技能。 撰写描述：验证器要求第三人称、60–1024 字符、含触发子句。先写技能做什么，再写 Use when ... 并列出用户手中具体持有物（文件名、magic bytes、框架与工具名、错误串、症状）及与最近邻技能区分的证据。 撰写正文：必需 ## When to Use 与 ## When NOT to Use（用反引号点名正确兄弟技能）；安全技能应含 ## Rationalizations to Reject；进攻技能还需按该领域真实暴露撰写范围与授权框架。读取公开参考材料时须原样加入 ## Reading External Sources 块；但针对目标的网络活动（云元数据端点、目标服务、外泄主机、钓鱼 URL、C2）必须直接访问。步骤按发生顺序标注 immediate / following / acting，acting 组以授权为前提。SKILL.md 控制在 600 行内，长表移入 references/ 且不得链式跳转。 ATT&CK 登记：sync_attack.py 会因技能未映射且未声明而失败；应编辑 secskills-core/ttp-index.json，加入技能的 techniques 数组，或声明 _unmapped，然后运行 python3 scripts/sync_attack.py --write 重新生成。 Eval 用例：向 evals/cases.jsonl 添加用例，字段含 id、query、expect_skill、also_acceptable、expected_behavior、trap_for；trap_for 列出该查询不得路由到的技能，新技能应出现在邻居用例的 trap_for 中并自带用例。 验证：PR 前三项均须通过：python3 scripts/validate.py --strict、python3 scripts/sync_attack.py --check、python3 scripts/run_evals.py --check；随后提升 plugin.json 与 marketplace.json 版本并补 CHANGELOG。新内容默认未验证，不得自行加 verified 日期，须交由 verifying-skill-accuracy 处理。
限制：本资料为流程与规范说明，未提供具体环境依赖、安装步骤、收费或价格信息，这些暂未提供。