用途：把安全测试结果写成可被理解、可被复现、可被修复的报告。适用于撰写单个漏洞、渗透测试/代码审计/红队报告、漏洞赏金提交与分诊、严重性评分与优先级论证、以及未修复问题的协调披露。查找漏洞本身、维护原始记录、事件复盘、合规映射等不属于本技能。
主要能力：按固定结构撰写发现（摘要、影响、受影响位置、复现步骤、根因、修复建议、参考），每条发现只对应一个问题，给出文件/行号/端点/提交与环境，复现无需追问，指出根因而非症状，修复建议要指明具体改动，并列出变体与已检查/未检查范围。发布前用机械性不变量自检：每条发现至少引用一项证据；确认状态与低置信度不可并存；复现要么可独立运行，要么注明无法脱离的环境；声称获取访问或数据须有对应证据。
严重性：先用CVSS评分，再单独陈述业务影响，工程团队按后者排优先级。示例向量：CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N → 6.9 Medium。再按暴露面、数据类型、利用成熟度、补偿控制、影响范围调整并说明理由；链式发现应分别报告各组件，并把链本身作为独立发现按链的严重性报告。
概念验证：以证明控制点为准，默认非破坏性，真实数据需脱敏，说明创建过的账号、上传的文件等残留物。
报告结构：执行摘要（一页、无术语）、范围与方法、覆盖与限制、按严重性排序的发现、跨发现的战略性建议、附录。执行摘要面向只读它的人；覆盖与限制用于保护双方；战略性建议提炼共性根因。
披露：私有报告→确认与时间线→第45天跟进→第90天标准公开期限（可按严重性与在野利用调整），影响已发布软件时申请CVE，修复广泛可用前不公开利用代码，厂商无响应时升级至CERT/CSIRT。
读取外部资料可用：curl -sL "https://defuddle.md/<url>"，但JSON/API响应、需认证或JS渲染页面应直接抓取，且不得用于对手基础设施、客户主机或授权目标。
限制：资料未提供具体工具链、收费、平台支持或效果数据；本技能消费其他技能产出的原始记录，不负责发现漏洞。