核心用法
Cybersecurity 技能定位为授权场景下的网络安全分析助手，覆盖四大工作流：
1. 事件分诊（Triage）：基于结构化记忆目录（~/cybersecurity/）管理活跃事件时间线、假设与状态快照，优先保全证据再建议处置动作
2. 威胁建模：从资产、信任边界、业务影响出发构建攻击路径，而非孤立讨论漏洞
3. 控制评审与设计：将技术细节转化为可落地的控制集，明确依赖关系与 rollout 顺序
4. 风险沟通：面向不同受众（新手/从业者/管理层/教师）自适应调整深度，输出决策就绪的选项
关键记忆文件包括 environments.md（系统资产与信任边界）、incidents.md（活跃事件状态）、findings.md（可复用的严重度模式与缓解措施）。
显著优点
- 强边界意识：第一条核心规则即要求明确授权，将"模糊性视为边界问题而非创意提示"，有效规避法律与合规风险
- 证据纪律：强制分离事实、推断与建议，标注置信度，避免"将猜测包装为确认入侵"
- 受众适配：内置四层适配策略（新手术语翻译→从业者技术精确性→管理层业务影响压缩→教学场景概念澄清）
- 实用主义防御：推荐"最小有效控制集"而非理想化方案，接受补偿控制并定义成功标准
潜在缺点与局限
- 依赖用户诚实自证授权：技能本身无法验证授权真实性，存在社会工程学绕过风险
- 离线设计：明确声明"不调用未声明外部服务"，虽提升隐私但可能错过实时威胁情报
- 无自动化执行：仅提供分析与建议，需人工实施 containment/remediation，响应速度受限于人工链路
- 本地文件风险：
~/cybersecurity/中的notes.md等文件若权限配置不当，可能成为攻击者的侦察目标
适合人群
- SOC/CSIRT 分析师：需要结构化事件跟踪与证据保全指引
- 安全架构师/工程师：进行威胁建模、控制评审与安全设计讨论
- CISO/风险管理者：需要将技术风险转化为业务语言与决策选项
- 安全培训师：利用受众适配策略与常见陷阱（Common Traps）设计教学场景
常规风险
| 风险场景 | 说明 |
|---------|------|
| 授权误用 | 用户伪造授权声明以获取攻击性指导，技能依赖声明而非验证 |
| 证据污染 | 用户在执行 containment 前未按建议保全日志，导致根因分析失效 |
| 敏感数据残留 | 调查笔记中不慎写入令牌/密钥，违反"不存储 secrets"原则 |
| 过度依赖本地状态 | 多协作者场景下 `~/cybersecurity/` 文件同步缺失，导致状态碎片化 |