ZONE.CI 全球网

geo-sleuth是一款照片拍摄地点定位的AgentSkill，提供相机经纬度、镜头朝向、误差半径和卫星证据图等功能。

本文介绍了使用AI进行漏洞挖掘的实战经验，包括信息收集、漏洞排查、人工复现和报告提交等四个阶段，并详细阐述了如何利用AI和自动化工具提高漏洞挖掘的效率。

本文详细介绍了AIAgent开发中的MCP、Skill和Tools三个概念，阐述了它们之间的关系和适用场景，并提供了实际开发中的选型和组合建议。强调了Agent开发的关键在于架构设计，而非工具的使用多少。

MCP+Skills赋能APP渗透逆向，通过六阶段Agent流水线，实现APP安全自动化分析，降低分析难度，提高效率。

本周GitHub上发布了17个AI渗透相关开源项目，包括自治Agent与编排框架、AgentSkills、MCP平台与工具三类，涉及资产梳理、CVE匹配、配置审计等场景，但需注意业务逻辑漏洞和社会工程环节仍需人工判断。

长亭科技AI安全产品驭元个人版上架统信UOS应用商店，并适配统信桌面操作系统V20和V25，提供AI资产与运行管理能力，助力企业AI安全治理。

介绍了利用AI辅助设计红队免杀工具孟极的设计思路和实践过程，旨在通过智能体将免杀从手艺活变成工程学，解决免杀技术中的决策难题。孟极能理解免杀技术，自主决策、编排流水线，通过Skills实现模块化和动态编排。下一步计划实现自适应自进化策略和全行动链自动化。

Claude-BugHunter是一个面向ClaudeCode的漏洞赏金与外部红队技能包，旨在将安全研究员的方法论拆解成可调用的领域知识模块，提供结构化的渗透测试路径。

今日安全速递包括Frida17.26.1补丁、Poki免越狱真机iPhone工具、SSHhole漏洞利用事件，以及其他安全研究、工具更新和事件进展。

本文探讨了AI模型Harness的重要性及其开发问题，以防止AI事故，强调验证和证据的重要性，并提出了具体的解决方案。

介绍了一种为智能编程助手添加语音汇报功能的方法，通过TTS模型实现文字转语音，并通过WebSocket连接豆包TTS服务进行实时合成。此方案可以用于编程助手完成长任务时，提供实时语音进度汇报，提高用户体验。

本文剖析AIAgent工作空间常见的九大设计陷阱，包括过度使用multi-agent、工具杂乱、目录层级过深、规则过多、共享空间缺乏隔离、无限上下文、超长会话、全量输出以及人类界面低效。指出这些设计会降低Agent效率、消耗token并导致输出质量下降。建议采用单一Agent循环、最小工具集、扁平结构、简短规则、物理隔离、控制上下文使用量、精简工具输出及使用AI友好接口，遵循少即是多的原则。

…

本文介绍使用Workbuddy搭配Skill技能库辅助挖掘存储型XSS漏洞的实战流程，包括AI约束配置、接口收集、自动化探测、人工复现验证、根因分析与修复方案，最终获得厂商中危评级500元赏金。文章强调AI仅辅助批量探测，最终验证与报告仍需人工完成，并推广其40个Skill技能库资料。

本文盘点GitHub本周8个AI渗透开源项目，分为自治Agent与编排框架及AgentSkills与知识库两类，涵盖Decepticon红队Agent、Anthropic官方安全技能集等。作者指出这些工具适合广度侦察与重复劳动，但业务逻辑漏洞与社会工程仍需人工，且需警惕Agent幻觉与误报，所有高危结论必须人工复核，并强调仅限合法授权测试。

本文介绍纯java实现哥斯拉tls指纹伪装的方法，通过bouncycastle底层tlsapi手工构造chrome形态的clienthello，注入sslsocketfactory，实现字段级一致，业务零感知。文中详述了卡点、版本陷阱、验证体系及能力边界，并沉淀为可复用skill，适用于存量java客户端tls伪装场景。

AiScan-N是一款国产AI全自动化渗透测试平台，具备对话与工作台、资产与风险、漏洞与交付、APK逆向与脱壳、流量与抓包、MCP与技能等功能，支持多种工具和技能包，适用于红队和蓝队安全测试。但存在一些安全问题，如提示注入面、中间人信任扩张等，需注意使用安全。

本文介绍玄枢体系在AI智能体安全治理与国密算法适配方面的实践成果。玄御体系通过资产基线、任务授权、执行控制与证据审计构建全生命周期安全防护，实验验证了内容识别与行为约束的互补效果。GM-AgentGuard框架实现国密算法对开源框架及商业产品的低侵入适配，保护数据同时保障业务完成。文章提供了可操作的安全建设思路与实验数据支撑。

本文介绍取证猎人轻量取证智能体插件及其猎人战法生成器工具，该工具支持通过自然语言创建战法skill，辅助电子取证与情报侦查场景。文档详细说明了战法创建流程、获取方式包括免费与付费渠道，并强调插件合法合规使用边界，仅适用于教学与授权材料分析场景。

本文介绍利用Workbuddy+Skill技能库进行SQL注入漏洞挖掘的实战流程，强调AI仅作辅助探测工具，不能替代人工验证，必须在授权范围内测试。文章详细阐述了从AI约束配置、接口收集、自动化探测到人工复现验证的完整步骤，并给出漏洞根因分析与修复方案，最后生成SRC标准漏洞报告。核心建议是严格遵循合规边界，人工复核AI线索，使用预编译语句修复漏洞。

本文介绍影腾智联基于火山引擎AgentKit构建售后智能客服小影的实践，通过打通业务数据与工具调用、托管运行保障稳定性、观测评测优化服务质量，实现降低人力成本、提速问题处理、服务稳定可靠，已常态化生产运行并沉淀约4万条会话。

TabbitCLI通过命令行让外部Agent在用户Tabbit浏览器中完成网站任务，实现快速、省Token的Agent浏览器操作方案，并详细介绍了其设计选择、实现过程和测试结果。

本文介绍专为授权渗透测试与攻防演练设计的整合型桌面工具ErraticGopher，其将资产发现、站点分析、自动化渗透与漏洞管理整合于同一应用，支持LLM驱动的ReACT智能代理进行多轮工具调用与浏览器实测，并产出结构化渗透分析报告。文章后半部分大量推广付费圈子、知识库及证书报考等商业内容。

本文介绍开源项目Claude-Red，将78份攻击性安全方法论写成结构化SKILL.md文件挂载至Claude技能系统，实现按需加载不占上下文。项目覆盖Web、无线、基础设施等23类攻击面，作者为KaiAizen，MIT协议，9800+星。文章详述技能文件结构、加载机制、安装方法及使用场景，强调其作为方法论教材的价值，并提醒仅限授权目标使用。

该文档介绍了一款基于AI的网络安全标讯采集助手Skill，通过自动化采集金融行业招标信息解决手动采集效率低、覆盖面窄的问题。工具覆盖40个渠道，采用四线关键词体系交叉搜索，自动提取12个标准字段并生成结构化报告，支持Markdown和Excel双格式输出。文档提供了轻量版下载和三步配置指南，帮助用户节省每日2-3小时重复劳动，同时指出工具存在搜索引擎延迟、JS渲染页面限制等改进空间。