当用户希望在平台侧开发、测试、创建或更新 Disguise 时使用。该 skill 用于生成符合平台约束的 trafficEncodeBody、trafficDecodeBody、headersJson、description 和规范名称，并优先调用 testDisguise 验证 traffic 编解码是否可互逆，再创建或更新 Disguise。
理解 LeoAI Java/PHP WebShell 与 Java 内存马生成链路，根据用户本次选择的通信、伪装、兼容性和混淆参数生成独立制品。用户要求生成、变体生成、调整兼容性或排查 Shell 无法连接时使用；始终通过 ShellGeneratorTools 完成确定性生成与结果交付。
发现当前 Puppet 用户的浏览器 Profile，对书签、历史、Cookie、表单和登录数据库建立一致性副本，将选定制品采集到当前 Agent 工作空间，并使用工作空间命令与文件工具解析为可搜索的结构化报告。当用户要求分析浏览器数据、时间线、访问记录、书签或浏览器制品时使用。
在已授权的 Puppet 立足点上定向搜集与红队任务相关的应用、JVM、数据库、SSH、云和服务账号凭据线索，建立“凭据—身份—目标—用途”映射。当需要扩大访问、接近指定业务目标或判断当前主机凭据价值时使用。
对新的 Puppet 立足点执行低噪声基础侦察，判断当前权限、业务价值、网络位置、关键服务、容器边界和可用行动入口，并形成红队主机画像。当进入新目标、需要判断立足点价值或尚无可靠侦察摘要时使用。
当用户希望在平台侧编写、生成、完善、检查、保存、更新或删除指纹规则时使用。该 skill 用于生成符合 FingerprintComponent 约束的 HTTP/TCP 指纹 rule.requests 与 rule.script，并要求通过平台 FingerprintTools 查询已有指纹、读取详情、保存和删除，不直接读写 VFS 指纹文件。
当用户希望基于命中的指纹获取漏洞利用建议时使用。该 skill 读取一组 fingerprintId 对应的 info.vulnerabilities 元数据，按风险等级排序输出可利用方向、对应 CVE、可调用的 exploit skill 与人工跟进项,不直接执行任何利用动作。
在 Linux Puppet 立足点上以只读方式发现并排序本地提权候选路径，覆盖 sudo、SUID/SGID、cron、PATH、服务、容器、Docker socket、NFS 和版本风险。当红队任务需要扩大本机权限、突破容器边界或判断是否值得投入提权时使用；本 skill 不执行利用。