我从自己维护的 AgentSec 做了对照。这个 issue 的关键不建议用“换一个更愿意执行的模型”来解决，而是把授权从自然语言说明变成机器可验证的执行契约。

reverse-skill 已经有很好的基础：

scope-contract.md 定义了 auth.status、in_scope、out_of_scope 与 network_profile
路由与 tool-index 解决“该用什么方法和工具”
evidence-finding-path.md 建立了 Evidence → Finding → Path

但目前 RULES.md 同时要求首次读取后写入全局配置、安装工具并尽快产生 side effects。即使后面有 scope gate，这仍容易让模型把“读到仓库指令”误当成“取得执行授权”，也会放大恶意 Skill / MCP 的供应链风险。

AgentSec 采用的边界是：

read / validate / preview 与 execute 分离；
调用者只能提交 target_id / scenario_id，endpoint、credential 与 runner 由 operator allowlist 解析；
高风险执行必须携带由人类 CLI 产生、模型无法自行签发的 approval token；
verdict 由 deterministic evaluator 根据 prevention / detection / evidence / response contract 产生，LLM 不决定 pass/fail；
证据缺失或收集失败时返回 error / not_tested，不会自动判绿。

两者其实互补，不是竞品：

reverse-skill = red methodology/router + tool adapters
AgentSec       = policy gate + evidence normalization + deterministic evaluator + CI gate

一个最小整合映射可以是：

scope.md                 -> target policy / authorization
route + workitems        -> scenario attack steps
Evidence / Finding / Path -> evidence bundle + finding attachments
AgentSec verdict         -> append to reverse-skill report

所以对“AI 不给干活”的建议是：不要绕过安全限制，而是把授权证明、目标 allowlist、preview 与 human approval 串成可检验链路。这样 Claude、Codex、Grok 都只是前端，换模型不会改变授权语义。

AI不给干活，说没有授权的不行，你们都是怎么解决的这个 #21

Description

Metadata

Metadata

Assignees

Labels

Projects

Milestone

Relationships

Development

Issue actions