Cybersec Helper

核心用法

cybersec-helper 是一款面向应用安全审查、漏洞赏金工作流程和安全编码的辅助技能。其核心工作模式遵循先定范围、再建模型、后出方案的三段式流程：

1. 范围澄清：主动询问目标程序、明确测试环境（生产/预发/本地实验室）、界定合法授权边界
2. 威胁建模：识别关键资产（认证、数据、业务逻辑、基础设施），分析攻击者目标与能力，绘制攻击路径
3. 交付产出：提供漏洞分类（CWE ID）、风险评级、修复建议及报告模板

该技能强制要求引用真实权威来源，包括 OWASP Top 10/ASVS/Testing Guide/Cheat Sheets、CWE、CVE、NVD、exploit-db、RFC 及厂商安全公告，严禁虚构漏洞编号或细节。

显著优点

• 权威标准锚定：所有分析均映射至 OWASP 2021 十大风险类别及 CWE 编号，具备可验证性
• 伦理边界内置：主动拒绝非授权测试请求，优先推荐本地实验室复现
• 批判性思维导向：不盲从常见建议，要求基于证据独立分析，对过度炒作的技术敢于质疑
• 结构化输出：以「情境摘要 → OWASP 分类 → CWE 编号 → 有序检查清单 → 风险评级 → 来源引用」六段式交付

潜在局限与风险

• 依赖用户诚实披露：范围合法性高度依赖用户主动、如实告知授权状态，系统无法自主验证
• 实时性缺口：CVE/NVD 数据存在滞后，零日漏洞可能未被收录
• 上下文理解边界：复杂企业架构的隐含信任关系可能被低估
• 未来功能未落地：Notion 集成状态为「Future」标注，当前版本未实现自动化知识库校验

适合人群

• 参与正规漏洞赏金计划的安全研究员
• 需要进行代码审计的开发者与 DevSecOps 工程师
• 撰写安全合规文档的审计人员
• 建立安全测试流程的 CTF 组织者

常规风险

| 风险类型 | 说明 |

|---------|------|

| 法律合规风险 | 未充分核实授权即提供渗透测试建议，可能导致用户误用 |

| 信息滞后风险 | 引用的 CVE/CWE 数据可能未覆盖最新威胁情报 |

| 过度依赖风险 | 用户可能将技能输出直接作为最终安全评估，忽视人工复核必要性 |

| 模型幻觉风险 | 尽管明确禁止虚构来源，大模型仍可能在边界情况下生成看似合理但未经验证的漏洞细节 |

建议使用者始终交叉验证关键安全结论，并将本技能定位为「辅助分析工具」而非「权威裁决者」。

核心用法

cybersec-helper 是一款专注于网络安全防御的纯文档型 Skill，旨在为开发者、安全工程师和渗透测试人员提供权威的安全指导。使用时，Skill 会在检测到用户提及安全、漏洞、Bug Bounty、CTF 或代码审查需求时自动激活。它会首先明确测试范围（区分生产环境、测试环境和本地实验室），建立威胁模型（识别资产、攻击者目标和能力），并基于 OWASP、CWE、CVE 等权威标准提供分类指导和修复建议。Skill 严格遵循道德边界，拒绝协助非法或非授权的安全测试，优先推荐本地环境复现。

输出风格强调结构化：以简短情境摘要开头，引用具体的 OWASP 分类（如 A01:2021 – Broken Access Control）和 CWE ID（如 CWE-79 对应 XSS），随后提供带风险评级的小步有序检查清单，并附可验证的来源引用。

显著优点

1. 权威标准锚定：全面整合 OWASP Top 10、ASVS、Testing Guide、Cheat Sheets 以及 CWE/CVE/NVD/Exploit-DB 等业界权威资源，确保建议的专业性和可验证性。

2. 零执行风险：纯 Markdown 文档型设计，无可执行代码、无依赖项、无网络请求能力，从根本上杜绝了恶意代码执行或数据外泄的可能性。

3. 伦理边界清晰：内置严格的伦理审查机制，强制要求用户确认授权范围，拒绝协助非法活动，体现负责任的安全披露实践。

4. 批判性思维引导：不盲从常见建议，鼓励用户分析具体场景适用性、质疑假设、基于证据形成独立判断，避免"安全迷信"。

潜在缺点与局限性

1. 无自动化能力：作为纯文档型 Skill，无法执行实际的代码扫描、漏洞检测或自动化渗透测试，仅提供指导性建议，需要用户配合其他工具落地。

2. 知识时效依赖：引用的外部资源（如 OWASP 版本、CVE 数据库）可能存在更新延迟，用户需自行验证最新标准。

3. 场景深度受限：面对高度定制化或新兴技术栈的安全问题，标准分类体系可能覆盖不足，需要人工补充分析。

4. Notion 集成待实现：当前版本未实现文档中提及的 Notion 数据库集成功能，OWASP 参考库的自动维护尚未落地。

适合的目标群体

• 安全工程师：需要快速引用标准分类、撰写漏洞报告或指导修复优先级。
• 全栈开发者：在代码审查阶段识别常见安全风险，学习防御性编程实践。
• Bug Bounty 研究员：规划测试范围、分类发现的问题、撰写符合平台规范的报告。
• 安全培训师：作为教学辅助工具，向学员演示标准漏洞分类和道德测试流程。
• DevSecOps 团队：在 CI/CD 流程中嵌入安全意识，协助人工复核自动化扫描结果。

使用风险

1. 误用风险：尽管 Skill 明确拒绝非法请求，但用户可能将获取的安全知识应用于非授权目标。Skill 通过强制范围确认和伦理提醒降低此风险，但最终责任仍在使用者。

2. 指导局限性：Skill 的建议基于通用标准，可能不完全适配特定技术栈或业务场景。用户需结合实际情况判断，避免生搬硬套。

3. 信息时效性：引用的外部链接和内容可能随时间失效或更新，用户应养成交叉验证习惯，不依赖单一信息源。

4. 性能无影响：作为纯文档型 Skill，对系统性能零负担，无需考虑资源消耗或响应延迟问题。