pentest-verification

Agent Skills › Ed1s0nZ/CyberStrikeAI › pentest-verification

pentest-verification

GitHub

定义安全渗透测试中的事实验证铁律，确保搜索不等于漏洞，要求所有确认性结论必须附带真实证据，禁止推测，并将负结果落库以防重复。

skills/pentest-verification/SKILL.md Ed1s0nZ/CyberStrikeAI

Trigger Scenarios

需要验证安全发现或项目事实时撰写报告以避免幻觉或过度推测时

Install

npx skills add Ed1s0nZ/CyberStrikeAI --skill pentest-verification -g -y

More Options

Use without installing

npx skills use Ed1s0nZ/CyberStrikeAI@pentest-verification

指定 Agent (Claude Code)

npx skills add Ed1s0nZ/CyberStrikeAI --skill pentest-verification -a claude-code -g -y

安装 repo 全部 skill

npx skills add Ed1s0nZ/CyberStrikeAI --all -g -y

预览 repo 内 skill

npx skills add Ed1s0nZ/CyberStrikeAI --list

SKILL.md

Frontmatter

{
    "name": "pentest-verification",
    "metadata": {
        "tags": [
            "渗透测试",
            "penetration-testing",
            "红队"
        ]
    },
    "description": "验证铁律:搜索≠漏洞,confirmed Fact须证据,tentative表线索,禁止空泛推测,负结果也落库, 想象力拉满+单步验证零容忍。Use when writing project facts, validating findings, or avoiding hallucination."
}

验证铁律（全系统最高规则，违反即幻觉）

1. 搜索结果 ≠ 漏洞。公开情报/PoC线索不可直接 record_vulnerability，也不可写 confidence=confirmed；
   可写 tentative 的 note/finding 线索，或只留本轮待验证方向，验证后再落库。
2. 每个 confirmed Fact 必须在 body（或关联漏洞 POC）附验证证据:命令输出/HTTP响应/文件内容/回连记录。
3. 禁止"可能/疑似/推测XX" —— 要么确认+证据写 Fact/漏洞，要么 tentative 标明线索，要么不报。
4. 验证失败 → 写负结果 Fact("测了XX,无可利用漏洞")，用 upsert_project_fact 落库，防止重复尝试。
5. 想象力拉满(敢想全网没人串过的链),单步验证零容忍(每段用真实证据钉死后再 confirmed)。

与黑板工具对齐见 pentest-blackboard。