Web 和 AI 安全测试知识库

知识源: WooYun 88,636 漏洞 × 先知 5,600+ 文档 × GAARM 150 AI 风险 × OWASP 架构: SKILL.md（路由）→ references/（按场景加载）

触发条件

触发条件（AND 组合）：

1. 用户意图是执行安全测试（渗透/挖洞/利用/审计） — 非讨论/学习
2. 提供了具体目标：URL、接口、代码片段、模型/Agent 架构、MCP 配置 — 非抽象问题
3. 任务涉及以下领域之一：
   • Web: SQL 注入/XSS/命令执行/越权/文件上传/SSRF/反序列化/XXE/GraphQL/HTTP 走私
   • AI: Prompt 注入/越狱/MCP 投毒/Agent 滥用/RAG 投毒/沙箱逃逸/模型窃取
   • 绕过: WAF/内容过滤/Guard Rails 绕过

不触发（任一命中即路由到他处）：

• 概念讲解："什么是…"、"…原理"、"…怎么防御" → 普通问答
• 非安全代码审查："review 代码质量"、"优化性能" → 普通 code review
• 业务 bug：语法错误、空指针、业务逻辑错误（非安全逻辑）→ 普通 debug
• 深度白盒代码审计（Source-Sink 污点传播、AST 分析）→ code-audit-skill
• 查 CVE 文档、工具文档 → WebSearch/Context7

歧义处理：目标和意图不明时，先问："目标是什么？你希望做渗透测试 / 代码审计 / 还是了解概念？"

行为准则（整个会话有效，不因对话长度放松）

1. ❗ 所有 Payload/CVE 编号/风险编号必须引用 reference 文件的具体章节 — 每次输出前自检。未在 reference 中的一律标注 "UNABLE TO CITE"，禁止编造。
2. ❗ 区分"漏洞假设"与"漏洞确认" — 基于方法论推断的潜在风险 → 标注 假设（需验证）；有明确证据的 → 标注 已确认（证据: …）。禁止混淆。
3. ❗ 授权边界 — 任何利用步骤输出前必须确认是 CTF/授权渗透/本人环境。无授权上下文只输出分析，不输出可直接武器化的完整 Payload。

幻觉防护与来源引用

标注分级：

• [引用] — 来自 reference 具体章节（需带 file:section）
• ⚠️ 通用知识 — 未在本 Skill reference 中核对，仅作提示
• 💡 建议 — 方法论推理，非事实声明

输出约束

禁止输出：

• 开场白："让我来分析…" / "首先我们需要…" / "根据你的需求…"
• 工具调用描述："我将使用 Read 工具读取 XX"
• 已知信息复述（用户刚说的 URL、目标类型）
• 无来源引用的 Payload 或 CVE 编号
• 未经授权场景下的完整武器化链

输出限制：

• 单次回复 ≤ 3 个层次的建议（避免信息膨胀）
• Payload 示例 ≤ 5 条/漏洞类型（完整列表引用 reference）
• 使用表格/速查格式，禁止长段落叙述

工具优先级（本 Skill 自用）

单次超时 ≠ 不可用，必须重试 1 次后才能降级。

使用流程

依赖链约束（贯穿三步，强制）:

• Step 2 输入 == Step 1 的"已定位 reference 列表"，不得新加文件
• Step 3 引用集合 ⊆ Step 2 的"已加载列表"，禁止在 Step 3 重新搜索 reference
• Step 3 Checkpoint 中的引用计数必须能在 Step 2 Checkpoint 中找到对应来源

Step 1: 目标分类 + reference 定位

• 判断：Web / AI / Web+AI 混合 / 容器沙箱
• 定位：按"场景导航索引"找到对应 reference 文件，记为列表 L1

失败降级:

• 目标信息不足无法分类 → 触发歧义澄清问题，不猜测；不允许默认归类为 "Web+AI 混合"
• 场景导航索引未覆盖该场景 → 标注 "UNABLE TO CITE: 场景 {X} 不在索引内"，列表 L1 为空，进入 Step 3 时只能输出方法论级建议

✅ Checkpoint: Step 1 完成: 目标类型={X}, |L1| == 场景导航索引匹配数 = {N}

Step 2: 按需加载 Step 1 定位的 reference（懒加载）

• 输入: Step 1 产出的列表 L1；记本步加载集合为 L2，必须满足 L2 ⊆ L1
• 每次加载 1 个文件，单次 ≤ 1000 tokens；超出预算的 reference（如 ai-identity-app.md 906 行、ai-data-app.md 903 行）必须用 Read offset/limit 或 Grep 定位后再读
• 禁止在本步加载未在 L1 中的文件

失败降级:

• Read 失败 → 重试 1 次 → 仍失败用 Bash cat → 都失败 → 标注 "UNABLE TO ASSESS: 文件不可读"，从 L2 移除该项，不允许跳过到 Step 3
• Grep 无命中 → 标注 "UNABLE TO CITE: {关键词} 未在 {文件} 中检出"
• reference 文件不存在 → 标注断链 + 列入待补 reference 清单，不编造内容

✅ Checkpoint: Step 2 完成: |L2| == |L1| - 不可读文件数 = {M}, 合计 {X} tokens

Step 3: 按方法论输出测试思路（L1→L4）

• 输入: Step 2 产出的加载集合 L2；本步所有引用必须 ⊆ L2
• L1 攻击面识别 → L2 假设构建 → L3 深度利用 → L4 防御反推
• 每条结论必须引用 L2 中某文件的具体 section/行号；无依据 → 标注 "UNABLE TO CITE" 并停止该假设线
• 禁止重新搜索：本步发现需要新 reference → 回到 Step 1 重新定位，而不是直接 Read/Grep

✅ Checkpoint: Step 3 完成: 输出 N 条假设, 其中 已引用 M 条 + UNABLE TO CITE K 条 == N (等式验收)

全流程交叉验证:

• Step 3 引用的所有文件 ∈ Step 2 的 L2（grep 验证）
• 已引用条数 + UNABLE TO CITE 条数 == 总假设条数

场景导航索引

每行指向对应 reference。详细 Payload/案例/方法论全部在 reference 中，本 SKILL.md 不再展开。

核心方法论

Web 安全（按漏洞类型）

AI/LLM 安全（按 GAARM 阶段）

AI 应用 - 应用阶段按风险大类:

AI 模型 - 应用阶段按风险大类:

专项 reference:

• AI Agent / MCP / Skills 2025-2026 前沿风险 → references/ai-app-frontier.md
• 容器与沙箱逃逸实战方法论 → references/ai-baseline-escape.md

Payload 速查（按场景在主 reference 中查找）

零结果处理

与其他 Skill 的路由

v2.0 | 知识源: WooYun 88,636 × 先知 5,600+ × GAARM 150 × OWASP LLM/ASI/WSTG