القائمة
规划并串联面向AI IDE的多阶段攻击链。适用于把单点漏洞能力组合成 端到端利用路径、评估整体安全姿态，或分析各个漏洞如何经由文件写入 这个枢纽连接起来。每条链都按交互层级分类，便于优先挑选更容易形成 报告价值的发现。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
测试Agent的Hook、子Agent、任务Agent与工作流扩展点的安全边界。 适用于评估项目级Hook、用户级Hook、子Agent提示文件、工具权限继承、 输入传递、审批绕过与持久化执行风险。
测试Agent skill、规则文件、插件、MCP配置与本地自动发现路径的供应链风险。 适用于评估SKILL.md、规则文件、marketplace来源、自动发现目录、 扫描器与基准环境，并围绕安装、更新、启用、引用四个阶段做安全审查。
测试Agent或AI IDE的工作区信任、审批提示、敏感文件保护与权限缓存模型。 适用于评估首次打开项目、切换信任状态、批准工具调用、批准MCP或批准配置后， 是否存在预信任执行、审批复用、TOCTOU、提示弱化或范围漂移。
测试AI IDE中超出MCP与终端过滤范围之外的代码执行面。适用于评估Hook滥用、二进制植入、IDE设置利用、工具定义自动加载，或环境变量前缀 相关向量。模式按交互层级排序：Tier 1为零交互，Tier 4为已信任工作区 且需要特定动作。
在对AI IDE做漏洞测试前，先绘制攻击面。适用于评估AI IDE的功能边界、 文档盲区、配置文件位置与自动加载路径，并按交互层级给每个发现标注优先级。
测试AI IDE的数据外传能力。适用于评估Markdown图片渲染、Mermaid图表、 预配置URL拉取、模型提供方重定向、WebView渲染，及其他出站通道。
| name | AI IDE攻击链编排 |
| description | 规划并串联面向AI IDE的多阶段攻击链。适用于把单点漏洞能力组合成 端到端利用路径、评估整体安全姿态，或分析各个漏洞如何经由文件写入 这个枢纽连接起来。每条链都按交互层级分类，便于优先挑选更容易形成 报告价值的发现。 |
单个漏洞原语未必足够严重。真正影响风险等级的，是它能不能和其他能力串成一条链。
例如：提示词注入单独看也许只是中低危，但如果再叠加文件写入、配置自动加载、命令执行或数据外传，就可能直接升级成高危甚至关键问题。
这个skill用来把已经确认的原语整理成完整攻击链，判断触发条件、交互层级、真实影响和报告价值。
至少先确认两类原语，不要在只有一个点成立时强行拼链。
常用原语与对应skill：
提示词注入攻击链测试MCP配置投毒测试终端过滤绕过测试AI IDE数据外传测试AI IDE代码执行面测试AI IDE代码执行面测试、MCP配置投毒测试所有攻击链都按触发所需的用户参与程度分类，建议先审查层级更低的链。
| 层级 | 名称 | 触发方式 | 报告价值 |
|---|---|---|---|
| Tier 1 | 零交互 | 用户克隆并打开仓库即可触发 | 最高 |
| Tier 2 | Agent驱动 | 用户正常发一条消息或提一个问题 | 很高 |
| Tier 3 | 需审批 | 用户必须点击Trust / Allow / Approve | 中等，取决于提示是否误导 |
| Tier 4 | 已信任+特定动作 | 用户已信任项目，且还要执行特定操作 | 单独评估时说服力较弱，但和TOCTOU、范围逃逸结合后仍有价值 |
恶意配置已存在 ->IDE打开工作区 ->自动加载 ->代码执行
适合验证：
恶意指令进入上下文 ->Agent代写配置或规则文件 ->新配置自动生效
适合验证：
提示词注入 ->Agent生成终端命令 ->过滤器绕过 ->执行敏感命令
适合验证：
提示词注入 ->读取敏感内容 ->借图片、URL、DNS、WebView发出
适合验证：
一次低交互成本能力 ->写入持久化配置 ->等待例行操作再次触发
典型例子：
git pull、重开项目、重启IDE后静默生效references/disclosed-chains.mdreferences/chain-templates.mdreferences/trigger-model-matrix.md建议按以下顺序组织：