78 个“进攻技能”装进一个技能包：agent 的方法论，正在变成可分发的 markdown

10 月 24 日的开源雷达上，有个项目值得所有用 coding agent 的人停下来看一眼：Claude-Red，一个收录了 78 个进攻性安全技能的技能库，横跨 23 个类别，约 8500 star。每个技能就是一个普通的 SKILL.md 文件：对话里触发关键词，agent 才加载对应的那一份方法论；没用到的类别不占上下文。类别包括 Web 方向 16 个技能，以及身份认证、活动目录、无线、shellcode、EDR 绕过、漏洞利用开发这些方向。

先把话说在前面：这篇不讲任何攻击方法，只讲“分发方式”这件事本身。作者 SnailSploit 声明，这个库的全部用例都是授权场景——授权渗透测试、漏洞赏金分流、CTF、操作员培训。但同时要说清楚另一面：这个库本身不强制执行任何用途限制，授权书是你自己的控制文件，不是库的控制文件。也就是说，方法论的可读性和可分发性，本身就是一把双刃剑。

为什么这件事比“又多了一个安全工具”重要？因为它和同一周登顶的 Cloudflare 安全审计 skill 是同一枚硬币的两面：防守方的方法论和进攻方的方法论，现在都用同一种方式分发——markdown 技能包。以前，红队方法论藏在资深安全研究员的脑子里、内部 wiki 里、收费培训里；现在，它变成了一堆可以被 agent 按需加载的文本文件。分发成本趋近于零，门槛也随之消失。

对普通开发者和团队来说，真正的启示不在“要不要装这个库”，而在“怎么管所有技能包”。Agent 技能正在变成新的软件供应链：你给 agent 装一个技能，等于给它装了一套行为准则和工具链。治理的方法也得跟着变：第一，装之前先读 SKILL.md 全文，看它引用了什么脚本、会调什么工具，别只看 star 数；第二，只在授权靶场和实验环境里用这类技能，生产环境的 agent 权限要最小化；第三，把技能包当成代码依赖来管——有版本、有来源、有审计记录，而不是随手从网上拖一个就用。

还有一个反直觉的点：方法论变成可读文本，对防守方其实是好事。一个黑盒模型会不会做坏事，你很难审计；但一个 SKILL.md 文件里写了什么，你是可以逐行读的。安全团队与其担心“agent 学会了进攻方法”，不如先把自己团队的 agent 技能包清单理清楚：哪些装了、从哪来的、能调什么权限。看不见的技能包，比看得见的更危险。

一句话：技能包正在成为 agent 时代的“应用商店”，而这个商店没有统一审核。Claude-Red 的出现不是让你去学进攻，而是提醒你——从今天起，你给 agent 装的每一个技能，都值得像装一个生产依赖一样认真对待。