让 Agent 规划渗透测试？先过授权这一关

把渗透测试的方法论喂给 AI Agent，这件事听起来就危险。但真有人做了，而且做得比大多数「AI 安全工具」克制：pentest-skill，把《渗透测试实践指南》整本书蒸馏成一个可被 Claude Code、ZCode 调用的技能，SKILL.md 的第一屏不是工具清单，是「仅用于获得书面授权的渗透测试、CTF 靶场与安全教育」。

这个仓库拿了 4 个 star，是作者仓库里关注度最高的。它值得拆，不在于攻击知识本身，在于它示范了「攻击性知识该怎么装进 Agent」——容器比内容更重要。

它是什么：一本书换一个五阶段流程

flowchart TD
    A["《渗透测试实践指南》全书<br/>Engebretson 著"] --> B["cangjie-skill 拆书流水线<br/>RIA-TV++ 提取"] 
    B --> C["SKILL.md 入口<br/>五阶段流程 + 决策规则速查"]
    C --> D["references/ 七个专题文件<br/>侦察·扫描·系统·Web·维持·报告"]
    D --> E["DIGEST.md 全书精华<br/>面向人类读者的导读"]

蒸馏的结果是标准的「入口 + 分层引用」结构：入口文件管流程和路由，七个子文件各管一章的干货，外加一份给人类看的全书精华。Agent 拿到任务说「帮我规划这个靶机的 Web 渗透」，按路由表加载对应章节，不用整本书进上下文。

五阶段是骨架：侦察（Google 指令、DNS、Whois、元数据）→ 扫描（Nmap 六种扫描、Nessus）→ 系统渗透（Metasploit、密码破解）→ Web 渗透（注入、XSS、代理拦截）→ 维持访问与报告。每阶段一个文件，工具用法带现代替代说明——原书 2011 年出版，作者把过时工具标注了当前等价物，这一步是流水线之外的手工活。

安全容器：三道锁

这个仓库真正的看点是它怎么处理「知识本身无善恶、使用有边界」：

• 第一道锁：授权前置。触发条件里写明场景白名单——书面授权、CTF、安全教育；README 的警告用的是加粗，不是免责声明式的脚注
• 第二道锁：白帽三要素。方法论文件里固化了「授权、范围、留痕」的执业约束，Agent 每次规划都会带上这三问
• 第三道锁：沙箱规则。靶场优先、生产环境隔离、工具时效对照——把「在哪打」的边界做成硬规则而非建议

对比一下市面上一些「AI 黑客工具」的营销话术，这套做法像是在说：攻击性知识的价值不在威力，在可控。

边界与判断

适用：安全从业者做方法论速查、CTF 选手要个规划副驾、安全教育的案例库。不适用：任何没有书面授权的场景——这不是工具的限制，是使用的前提。

风险也要说透：Agent 会照着方法论推进，但责任无法蒸馏——授权文件、测试范围、法律边界，永远是人签字，AI 只加速合规的部分。

我的判断：这类「带安全容器的攻击性技能」会是 Agent 生态里的一类标本——它证明了敏感知识可以以负责任的方式进入 Agent 工作流，前提是作者把边界设计进第一行代码，而不是最后一页免责声明。

工具没有立场，容器有。做 Agent 技能的人，都该看看它的第一行怎么写的。

仓库：https://github.com/Fen9pi-Max/pentest-skill（MIT，需配合书面授权使用）