Zero Trust

核心定位

zero-trust 是一份纯 Markdown 格式的安全操作手册，而非可执行代码工具。其核心价值在于为 AI Agent 建立了强制性的安全决策框架，通过「STOP → THINK → VERIFY → ASK → ACT → LOG」六步验证流，阻断几乎所有常见的自动化攻击向量。

显著优点

• 攻击面极小：100% Markdown 文档，无可执行代码、无外部 API、零依赖
• 强制人工介入：对 URL 点击、安装包、API 密钥、邮件发送等高风险操作强制要求显式人类批准
• 供应链防护：详细列出 typosquatting、obfuscated code、 urgency pressure 等钓鱼/投毒识别特征
• 凭证管理规范：明确禁止 echo/print/log/commit 等泄露渠道，提供 ~/.config/ 600 权限标准存储方案

局限性与约束

• 被动防御：依赖执行者主动遵守，本身无法技术强制拦截违规操作
• T3 来源：本地路径/未知维护者，无版本历史可追溯，存在文档被篡改后难以发现的风险
• 误报成本：严格的人工确认流程可能拖慢正常开发效率
• 覆盖盲区：主要针对外部交互，对本地提权漏洞（如容器逃逸）指导有限

适用人群

所有需要与外部网络、第三方包、API 服务交互的 AI Agent 运维场景，特别是涉及敏感凭证处理或面向公众的服务部署。

常规风险提示

该 Skill 本身虽为 S 级安全，但其有效性完全取决于执行环境是否真正执行了「ASK」步骤。若上层系统绕过人工确认直接执行，则零信任原则形同虚设。建议在 CI/CD 流水线中强制集成该检查点。

核心定位

Zero Trust 是一个纯文档型安全技能（Skill），旨在为 AI 代理与外部资源交互时提供系统化的安全行为准则。其核心价值在于建立"永不信任，始终验证"的操作文化，而非提供可执行功能。

核心用法

该技能定义了六步验证流程（STOP→THINK→VERIFY→ASK→ACT→LOG），覆盖以下关键场景：

• 安装安全：禁止未经审核的软件包安装，识别 typosquatting 等供应链攻击
• 凭证管理：强制要求密钥存储于 ~/.config/ 且权限 600，严禁日志/聊天记录泄露
• URL 安全：要求人工确认未知链接，防范钓鱼与恶意跳转
• 操作分级：明确区分"需审批"（外部邮件、社交发帖、金融交易）与"可自主"（本地文件、可信搜索）行为

显著优点

1. 零攻击面：纯 Markdown 文档，无可执行代码、无依赖、无网络请求
2. 即时生效：无需配置，作为系统提示注入即可约束代理行为
3. 覆盖全面：从供应链安全到社会工程学防护，涵盖 AI 代理常见风险场景
4. 符合合规：通过 GDPR/CCPA 审计，无数据收集行为

局限性与风险

1. 依赖人工执行：准则效力取决于代理/用户的实际遵守程度，无强制技术约束
2. T3 来源级别：发布者为个人/社区身份，需用户自行验证内容可信度
3. 版本漂移风险：未来更新若引入可执行代码，需重新安全审查
4. 误报成本：严格的"ASK FIRST"策略可能降低操作效率

适合人群

• 使用 AI 代理处理敏感数据的企业/个人用户
• 需要规范 AI 代理外部操作行为的安全团队
• 对供应链攻击、凭证泄露风险高度警惕的场景

常规风险

• 社会工程学绕过：攻击者可能伪造紧急场景绕过"STOP→THINK"流程
• 准则疲劳：频繁的人工确认请求可能导致用户习惯性点击"批准"
• 覆盖不全：新型攻击向量（如 AI 特定的提示注入）可能未完全纳入准则