开源 · Agent 红队 skills
攻击手册,变成你的 Agent 能跑的 skill
因为攻防本就是 AI 驱动的,方法本身就是 skill。把某个 skill 丢进你的 Agent(兼容 Claude Skills / agentskills.io / Hermes 的 SKILL.md),指向一个你拥有的 Agent,它就自动跑测试、经验证、出带证据的发现。Apache-2.0。
SKILL.md · 可移植 · Apache-2.0 · 9
RT-1
提示词注入
✓ 已实测验证处理的内容能否劫持任务?直接、间接、多轮、编码。
看 SKILL.md →
RT-2
工具 / 动作滥用
✓ 已实测验证被诱导调用不该调的工具、参数被劫持、或混淆代理。
看 SKILL.md →
RT-3
沙箱 / 隔离
工具是否无隔离运行?沙箱会不会静默关闭?
看 SKILL.md →
RT-4
动作门禁绕过
高危动作能否绕过带外确认直达执行?
看 SKILL.md →
RT-5
通道注入
入站通道内容(私信/群/转发)能否操纵 Agent?
看 SKILL.md →
RT-6
记忆投毒
注入能否写进记忆、在未来会话自动复发?
看 SKILL.md →
RT-7
供应链
被投毒的技能/MCP/依赖能否变成可信指令?
看 SKILL.md →
RT-8
数据外泄
注入能否把密钥/PII 送到攻击者出口?
看 SKILL.md →
method
静态×动态编排
编排静态分诊 → 动态证实。裁判是真打穿。
看 SKILL.md →
◇在各种 agent 里怎么用
同一份 SKILL.md,加载进你自己的 agent,对你拥有的目标跑同样的测试。每条都附一个真实案例——它产出的公告。
Claude Code
SKILL.md · 自动发现 · 或 /plugin把一个 skill 放进 skills 目录(或把整套工具装成插件),然后让 Claude Code 对你拥有的 agent 跑起来。
git clone https://github.com/William2333ZZ/trustshell mkdir -p .claude/skills && cp -R trustshell/skills/redteam-an-agent .claude/skills/ # or install the whole toolkit as a plugin: /plugin marketplace add William2333ZZ/trustshell /plugin install trustshell
▸ “用 redteam-an-agent 这个 skill 对 ./my-agent 做红队”
案例. TS-2026-004 就是这么找到的:Claude Code 跑 redteam-an-agent,用一个良性的“总结这份便签”任务夹带一条 shell 命令,靠磁盘上的 marker 确认 RCE——复现 5/8,如实报 ~60%,不报“每次”。 读公告 TS-2026-004 →
Any MCP client
MCP server · 原生工具跑 TrustShell 的 MCP server;你的 MCP 客户端(Claude Desktop、Cursor……)就得到 static_scan / red_team / list_skills 三个原生工具。
git clone https://github.com/William2333ZZ/trustshell python3 trustshell/mcp/trustshell_mcp.py # then register it in your MCP client
▸ 调用 static_scan(source="/path/to/agent"),再对候选调用 red_team(...)
案例. static_scan 扫框架源码,标出了那条未净化的入站文件名路径,即 TS-2026-001——随后动态一遍如实把它定为候选(可达性未验证),而不是夸大成打穿。 读公告 TS-2026-001 →
Cursor & IDE assistants
SKILL.md 当规则 / 上下文把某个 SKILL.md 作为规则/上下文文件喂给助手(或指向整个仓库),让它对眼前的代码库执行对应的 skill。
# add trustshell/skills/audit-agent-code/SKILL.md to your rules/context, then:
▸ “按 audit-agent-code 走:审这些通道有没有路径穿越、命令注入、认证顺序问题”
案例. audit-agent-code 是框架 appsec 的方法——同类组件一致性对比、认证顺序、fail-open 控制、信任边界洗白。它专门翻出 LLM 层永远看不到的缺口。
Hermes · OpenClaw · agentskills.io
同一份 SKILL.md 直接加载可移植的 SKILL.md 直接加载(skills 目录或市场导入)。因为进攻本身是 AI 驱动的,方法跟着能跑它的 agent 一起走。
# drop the class you want into the host's skills directory: cp -R trustshell/skills/rt1-prompt-injection <host-skills-dir>/ cp -R trustshell/skills/rt6-memory-poisoning <host-skills-dir>/
▸ “在一次性沙箱里对目标跑 rt1-prompt-injection”
案例. 生来与宿主无关:凡是能跑 SKILL.md 的,就能跑这套红队。TrustShell 就是这样在 agent 生态里扩散——方法可移植,公告是它管用的证明。
◇每个 skill 都强制这些
- 只测你拥有、或有书面授权的目标。
- 只在一次性环境里跑——绝不碰生产、不碰有真实数据的机器。
- 绝不碰目标的真凭证——按引用用,看不到值。
- 只用无害标记——随机 token,不破坏、不外泄、不留持久化。
- 公开方法不公开武器——只讲怎么测怎么确认,不给能直接开火的载荷。
- 为帮防御者而披露——公开发现与修复,绝不给可直接开火的载荷;Agent 防得好,就说好。