统一 IOC 富化查询。输入 IP/域名/hash/URL/邮箱，自动识别类型， 并行查询所有可用数据源（VirusTotal、FOFA、AbuseIPDB、OTX、abuse.ch、crt.sh、ThreatBook）， 聚合输出结构化威胁情报报告。支持批量输入（逗号或换行分隔）。 当用户需要查询威胁情报、分析可疑 IOC、进行资产侦察时使用此 skill。
地理推断分析（GeoGuessor 风格）。从多维线索推断目标的地理位置： IP 地理定位、时区分析、语言线索、域名注册商地域特征、视觉分析。 综合交叉验证，输出置信度评分。当用户需要推断攻击者/目标的地理位置时使用。
基础设施指纹分析。识别同一攻击者/组织的基础设施群：域名注册模式、 IP 段分布、证书复用、服务器指纹、网站模板指纹。 当用户需要关联多个 IOC 背后的基础设施、识别攻击者资产群时使用。
自主调查工作流。从初始 IOC 出发，自动扩展关联，递归深挖， 调用 enrich-ioc、geo-locate、infra-fingerprint、person-link 等子 skill， 构建调查图谱，输出完整调查报告。 当用户需要深度调查某个目标、追踪攻击者、分析攻击活动时使用。
人物关联分析。从公开数据关联人物身份：WHOIS 历史关联、邮箱泄露扩展、 用户名跨平台关联、证书组织字段关联。 当用户需要从技术线索追溯到人物身份时使用。
结构化威胁情报报告生成。将调查数据整理为标准格式报告： 支持 Markdown 报告（摘要、IOC 列表、关联图谱、时间线、风险评估、建议措施）。 当用户需要将调查结果整理为正式报告时使用。
视觉 OSINT 分析。从图片、截图、网页视觉内容中提取情报： 识别语言、地标、UI 框架、品牌标识，网页相似度比对（钓鱼站点识别）， EXIF 数据提取。与 geo-locate 联动进行地理推断。 当用户提供截图或需要视觉分析时使用。
微步在线威胁情报查询工具。支持IP、域名、文件哈希威胁情报查询，漏洞情报查询，资产测绘等功能。支持微信登录自动化和X语言高级搜索。当用户需要查询威胁情报、进行资产测绘或使用微步在线平台时，应使用此技能。