用途：该技能用于在安全评估行动中识别防御性欺骗。其他技能通常假设环境真实可信，而欺骗技术专门打破这一假设，自动化测试工具最难察觉。目标是在触发前发现诱饵，因为多数欺骗机制在首次使用时触发，且不可撤销。
主要能力：识别蜜标与金丝雀令牌（AWS密钥、带回调的Office文档、DNS/URL令牌、SQL Server行、Kubeconfig等）；识别AD诱饵（SPN+弱密码+无登录历史的特权账户、诱饵共享、Description含凭据等）；识别欺骗性服务（横幅匹配知名CVE但行为不符、响应时间异常统一、利用成功后shell过于干净）；识别云端诱饵（命名诱人的存储桶、无CloudTrail历史的宽松IAM用户）。
使用方式：发现异常易得的凭据、账户、文件或服务时，先判断其是否为诱饵。不要认证、连接或调用API——发现通常静默，使用则不静默。记录位置、具体工件、发现方式与怀疑理由，继续在其他地方枚举，并向客户联系人确认是否部署了欺骗及其范围。若已触发，应立即声明，避免SOC误判为真实入侵。
适用场景：渗透测试、红队行动、安全评估中遇到过于顺利的发现、来源不明的凭据或可疑服务时。
限制：不用于规避检测（那是OPSEC）、不用于分析对手诱饵（用事件响应技能）、不用于构建欺骗能力。真实环境本身也常存在真实错误配置，判断依据是“是否有其他事物依赖它存在”，而非“是否好得不像真的”。无支持上下文的孤立工件才是诱饵特征。
阅读外部资源可用 curl -sL "https://defuddle.md/<url>" 抓取公开公告为Markdown，但不要用于JSON/API、需认证页面或对手基础设施。