本文为安全从业者梳理AI大模型基础概念，涵盖Prompt工程、Tokenizer与Token、Embedding向量嵌入、上下文窗口、RAG检索增强，以及AIAgent的FunctionCalling、ReAct推理行动和Reflection反思机制，配Python代码演示。结合渗透测试与代码审计说明AI辅助实战价值，建议安全人员从基础概念入手掌握Agent开发提升效率。

ClaudeCode等三大AI编程Agent被曝存在高危RCE漏洞，攻击者可借GitHubIssue触发代码执行与密钥窃取。对此企业需分阶段治理：短期立即升级补丁与轮换凭证；中期实施网络隔离、权限收敛及日志审计；长期须建立安全基线，引入Agent安全网关实现语义级校验拦截，并将AI工具漏洞响应纳入常态化安全运营体系。

本文演示了对encrypt靶场的渗透测试，分析AES+RSA加密流程，发现key和iv固定不变，利用Burp插件autodecoder替换加密数据实现重放攻击，成功绕过加密验证。

本文介绍了AI中Skill的概念，即通过md文件存储提示词供Agent调用，实现任务自动化。它阐述了Skill的用途、优势、按需加载机制，以及与MCP的区别，并提供了编写Skill的指导，强调其作为经验封装的价值。