菜单
规划并串联面向AI IDE的多阶段攻击链。适用于把单点漏洞能力组合成 端到端利用路径、评估整体安全姿态，或分析各个漏洞如何经由文件写入 这个枢纽连接起来。每条链都按交互层级分类，便于优先挑选更容易形成 报告价值的发现。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
测试Agent的Hook、子Agent、任务Agent与工作流扩展点的安全边界。 适用于评估项目级Hook、用户级Hook、子Agent提示文件、工具权限继承、 输入传递、审批绕过与持久化执行风险。
测试Agent skill、规则文件、插件、MCP配置与本地自动发现路径的供应链风险。 适用于评估SKILL.md、规则文件、marketplace来源、自动发现目录、 扫描器与基准环境，并围绕安装、更新、启用、引用四个阶段做安全审查。
测试Agent或AI IDE的工作区信任、审批提示、敏感文件保护与权限缓存模型。 适用于评估首次打开项目、切换信任状态、批准工具调用、批准MCP或批准配置后， 是否存在预信任执行、审批复用、TOCTOU、提示弱化或范围漂移。
测试AI IDE中超出MCP与终端过滤范围之外的代码执行面。适用于评估Hook滥用、二进制植入、IDE设置利用、工具定义自动加载，或环境变量前缀 相关向量。模式按交互层级排序：Tier 1为零交互，Tier 4为已信任工作区 且需要特定动作。
在对AI IDE做漏洞测试前，先绘制攻击面。适用于评估AI IDE的功能边界、 文档盲区、配置文件位置与自动加载路径，并按交互层级给每个发现标注优先级。
测试AI IDE的数据外传能力。适用于评估Markdown图片渲染、Mermaid图表、 预配置URL拉取、模型提供方重定向、WebView渲染，及其他出站通道。
| name | AI IDE攻击链编排 |
| description | 规划并串联面向AI IDE的多阶段攻击链。适用于把单点漏洞能力组合成 端到端利用路径、评估整体安全姿态，或分析各个漏洞如何经由文件写入 这个枢纽连接起来。每条链都按交互层级分类，便于优先挑选更容易形成 报告价值的发现。 |
单个漏洞原语未必足够严重。真正影响风险等级的，是它能不能和其他能力串成一条链。
例如：提示词注入单独看也许只是中低危，但如果再叠加文件写入、配置自动加载、命令执行或数据外传，就可能直接升级成高危甚至关键问题。
这个skill用来把已经确认的原语整理成完整攻击链，判断触发条件、交互层级、真实影响和报告价值。
至少先确认两类原语，不要在只有一个点成立时强行拼链。
常用原语与对应skill：
提示词注入攻击链测试MCP配置投毒测试终端过滤绕过测试AI IDE数据外传测试AI IDE代码执行面测试AI IDE代码执行面测试、MCP配置投毒测试所有攻击链都按触发所需的用户参与程度分类，建议先审查层级更低的链。
| 层级 | 名称 | 触发方式 | 报告价值 |
|---|---|---|---|
| Tier 1 | 零交互 | 用户克隆并打开仓库即可触发 | 最高 |
| Tier 2 | Agent驱动 | 用户正常发一条消息或提一个问题 | 很高 |
| Tier 3 | 需审批 | 用户必须点击Trust / Allow / Approve | 中等，取决于提示是否误导 |
| Tier 4 | 已信任+特定动作 | 用户已信任项目，且还要执行特定操作 | 单独评估时说服力较弱，但和TOCTOU、范围逃逸结合后仍有价值 |
恶意配置已存在 ->IDE打开工作区 ->自动加载 ->代码执行
适合验证：
恶意指令进入上下文 ->Agent代写配置或规则文件 ->新配置自动生效
适合验证：
提示词注入 ->Agent生成终端命令 ->过滤器绕过 ->执行敏感命令
适合验证：
提示词注入 ->读取敏感内容 ->借图片、URL、DNS、WebView发出
适合验证：
一次低交互成本能力 ->写入持久化配置 ->等待例行操作再次触发
典型例子：
git pull、重开项目、重启IDE后静默生效references/disclosed-chains.mdreferences/chain-templates.mdreferences/trigger-model-matrix.md建议按以下顺序组织：