用途：接受 MD5/SHA1/SHA256 哈希或文件路径，查询 VirusTotal API v3 获取恶意软件信誉，解析检出比例、逐厂商结果、标签和首次出现日期，汇总威胁等级。适用于快速判断可疑文件是否为已知恶意样本、评估事件响应中收集的哈希威胁等级、批量查询 IOC 列表中的哈希，以及在取证分析前对文件排序。
主要能力：支持哈希或文件路径输入；若为文件路径则计算 MD5/SHA1/SHA256 并以 SHA256 查询；校验哈希长度（MD5=32、SHA1=40、SHA256=64）；输出检出比例（malicious/total）、威胁等级（HIGH/MEDIUM/LOW/CLEAN）、检出厂商列表、标签、首次与最后提交时间及文件信息；结果保存至 /tmp/vt_result_summary.txt 和 /tmp/vt_response.json。
使用方式：需 curl、python3 和 VirusTotal API 密钥（环境变量 SECSKILL_VT_API_KEY）。密钥设置优先级：环境变量、配置文件 ~/.config/security-skill/secrets.env、运行时交互输入。示例：export SECSKILL_VT_API_KEY="your_api_key_here"；或 mkdir -p ~/.config/security-skill && echo 'SECSKILL_VT_API_KEY=your_api_key_here' >> ~/.config/security-skill/secrets.env && chmod 600 ~/.config/security-skill/secrets.env。查询命令：curl -s --request GET --url "https://www.virustotal.com/api/v3/files/${QUERY_HASH}" --header "x-apikey: ${SECSKILL_VT_API_KEY}"。
限制：VirusTotal 免费 API 限 4 请求/分钟、500 请求/天；新恶意软件可能尚未收录，CLEAN 结果不保证安全；直接上传文件会与 VirusTotal 共享文件及元数据，敏感文件应仅按哈希查询；401 表示密钥缺失或无效，404 表示哈希不在库中，429 表示超出速率限制；缺少 curl 可执行 sudo apt install curl。查询提取的 IOC 哈希时建议配合 ioc-extract 技能使用。