咨询/反馈建议/问题

[wind-byte2060]

1.专业人士都知道 逆向工程检查样本的导入表是最基础和最核心的步骤
但是这个skills包安装完以后 分析了几个文件之后 不是说缺这个步骤 重要问题是比如检查一个样本的导入表失败了 要进行下一个步骤 但是用户知道检查导入表是最基础的条件 于是 让模型停下来 重新开始这一步骤（检查导入表） 结果呢 执行开始 直接更换了一个步骤（好像是把检查导入表跳过了）
这个Skills能不能再强力约束模型这一流程？
2.能不能抽取一些专业安全厂商技术报告的规则出来更新到模块里 让报告信息 更专业 更丰富？

[zhaoxuya520]

好的

[wind-byte2060]

好的

这么简洁的么

[dhicoc]

感谢反馈，两个问题都确认有效，我来拆开处理：

问题 1：导入表检查被跳过的流程约束

根因已定位：现有 radare2 / reverse-engineering 工作流里导入表检查（rabin2 -i）只写了「推荐」，没有硬性门禁，模型在上下文压力下跳过它不违反任何硬规则；且「用户要求重做某步」时缺少「必须重做同一步」的约束。

修复计划：

• 把导入表检查从「推荐」升级为 MUST 步骤，带输出契约：必须记录 rabin2 -i / IDA imports 输出为 Evidence（E-*）后才能进入下一步
• agent-obedience-engineering / RULES 借口反驳表新增：用户要求重做 X 步骤 → 必须重做 X，不得换步骤
• 涉及文件：skills/radare2/SKILL.md、skills/reverse-engineering/references/re-agent-workflow.md、skills/ida-reverse/SKILL.md、skills/malware-analysis/SKILL.md、skills/llm-security/references/agent-obedience-engineering.md
• 完成后跑 smoke + verify 回归，PR 引用本 issue

问题 2：引入专业安全厂商报告规则

计划在 docs-generator 新增 references/vendor-report-rules.md：从公开厂商报告抽取结构规则（执行摘要、攻击叙事、IOC 表、ATT&CK 映射、风险矩阵、附录规范），只取结构不抄原文，并接入现有报告模板。

需要确认：

1. 优先参考哪几家厂商的风格？
2. 是否需要多套模板可选？

我认领这两个方向，进度会更新在本 issue，欢迎补充细节。

[dhicoc]

问题 1 进度更新

已落地并合并到 main（PR #67）：

• 导入表检查升级为 MUST 硬门：未写入 Evidence（E-imports / E-triage-imports）不得进入下一步
• 覆盖 radare2 / ida-reverse / malware-analysis / re-agent-workflow
• 借口反驳表新增：用户要求重做 X → 必须重做 X，不得换步骤（RULES 中英 + agent-obedience）
• 本地 smoke.ps1 + verify-routing-coherence.ps1 均 ALL PASS 后才 push

请用真实样本复测：故意让模型跳过导入表、或要求「重做导入表检查」，看是否还会换步骤。

问题 2（厂商报告规则）仍待确认：优先哪几家厂商风格、是否需要多套模板？确认后另开 PR。

[wind-byte2060]

问题 1 进度更新

已落地并合并到 main（PR #67）：

• 导入表检查升级为 MUST 硬门：未写入 Evidence（E-imports / E-triage-imports）不得进入下一步
• 覆盖 radare2 / ida-reverse / malware-analysis / re-agent-workflow
• 借口反驳表新增：用户要求重做 X → 必须重做 X，不得换步骤（RULES 中英 + agent-obedience）
• 本地 smoke.ps1 + verify-routing-coherence.ps1 均 ALL PASS 后才 push

请用真实样本复测：故意让模型跳过导入表、或要求「重做导入表检查」，看是否还会换步骤。

问题 2（厂商报告规则）仍待确认：优先哪几家厂商风格、是否需要多套模板？确认后另开 PR。

你好 感谢再次回复！
问题1已合并 那么我就探讨问题2啦
从我个人角度：我主要推荐卡巴斯基【APT分析】、火绒安全【普通程序分析】的网络安全研究分析报告
样例：https://securelist.com/updated-mata-attacks-industrial-companies-in-eastern-europe/110829/
https://www.huorong.cn/document/tech/vir_report/2027
https://www.huorong.cn/document/tech/vir_report/2023
（能覆盖90%的场景吧）
至于模板数量问题 我的个人意见是 模板在精不在多

[wind-byte2060]

问题 1 进度更新

已落地并合并到 main（PR #67）：

• 导入表检查升级为 MUST 硬门：未写入 Evidence（E-imports / E-triage-imports）不得进入下一步
• 覆盖 radare2 / ida-reverse / malware-analysis / re-agent-workflow
• 借口反驳表新增：用户要求重做 X → 必须重做 X，不得换步骤（RULES 中英 + agent-obedience）
• 本地 smoke.ps1 + verify-routing-coherence.ps1 均 ALL PASS 后才 push

请用真实样本复测：故意让模型跳过导入表、或要求「重做导入表检查」，看是否还会换步骤。

问题 2（厂商报告规则）仍待确认：优先哪几家厂商风格、是否需要多套模板？确认后另开 PR。
信息补充：
Updated-MATA-attacks-Eastern-Europe_full-report_ENG.pdf

[dhicoc]

问题 2 进度更新（已合并）

综合你的偏好与样例（卡巴斯基 APT / 火绒普通程序分析，「模板在精不在多」），以及你补充的 MATA 完整 PDF 结构参考，已落地并合并到 main（PR #68）：

方案

• 1 份结构规则：skills/docs-generator/references/vendor-report-rules.md
• 仅 2 个 flavor（不建 N 套平行全文模板）：
  • malware（默认）— 火绒式：概述 → 流程 → 样本分析 → 应急处置 → IOC
  • apt — 卡巴斯基 Securelist 式：摘要 → 感染链 → 调查叙事 → Interesting findings → 技术分析 → 检测缓解 → IOC
• 渗透 / CTF / JS 签名：沿用原任务模板 + 通用专业元素最小集
• 只抽结构，不抄厂商原文 / 图表 / 样例 IOC
• 与仓库已有 Evidence→Finding→Path 同时生效，冲突时 Evidence 契约优先

挂接

• docs-generator/SKILL.md：选型表 + MUST 叠加 vendor 规则
• security-report-templates.md：§0.6 overlay + §1b 恶意软件/APT 入口 + 导入表小节

验证

本地 smoke.ps1 + verify-routing-coherence.ps1 均 ALL PASS 后才 push。

问题 1 + 问题 2 均已在 main。欢迎用真实写报告任务试跑 malware / apt 两 flavor；若章节还需微调可继续在本 issue 反馈。

[wind-byte2060]

问题 2 进度更新（已合并）

综合你的偏好与样例（卡巴斯基 APT / 火绒普通程序分析，「模板在精不在多」），以及你补充的 MATA 完整 PDF 结构参考，已落地并合并到 main（PR #68）：

方案

• 1 份结构规则：skills/docs-generator/references/vendor-report-rules.md

• 仅 2 个 flavor（不建 N 套平行全文模板）：

  • malware（默认）— 火绒式：概述 → 流程 → 样本分析 → 应急处置 → IOC
  • apt — 卡巴斯基 Securelist 式：摘要 → 感染链 → 调查叙事 → Interesting findings → 技术分析 → 检测缓解 → IOC

• 渗透 / CTF / JS 签名：沿用原任务模板 + 通用专业元素最小集

• 只抽结构，不抄厂商原文 / 图表 / 样例 IOC

• 与仓库已有 Evidence→Finding→Path 同时生效，冲突时 Evidence 契约优先

挂接

• docs-generator/SKILL.md：选型表 + MUST 叠加 vendor 规则
• security-report-templates.md：§0.6 overlay + §1b 恶意软件/APT 入口 + 导入表小节

验证

本地 smoke.ps1 + verify-routing-coherence.ps1 均 ALL PASS 后才 push。

问题 1 + 问题 2 均已在 main。欢迎用真实写报告任务试跑 malware / apt 两 flavor；若章节还需微调可继续在本 issue 反馈。

还有两类 但是本人不清楚符不符合该skill包的整体基调 请你们予以评估
1.某样本一段时间内整体态势【为什么选择360的模板 360有云 看得远】

2026年04月勒索软件流行态势分析(1).pdf

2.安全科普/教程类【360那边更人性化】

《OpenClaw安全部署与实践指南（360护航版）》.pdf

[dhicoc]

关于你补充的两类模板：评估结论

已对照本仓库整体基调（单 case 作战 → Evidence→Finding→Path → 出报告；模板在精不在多；现有厂商层仅 malware / apt 双 flavor）评估你提供的两份样例结构。只评结构适配性，不抄录 PDF 正文。

---

1. 态势类（360《勒索软件流行态势》类月刊）

是什么：周期横向汇总（家族占比、系统/地域统计、热点事件、双重勒索披露等），强项是云端体量与「看得远」，不是单样本深挖。

维度	判断
与主路径	多家族/周期统计 ≠ 单 case 逆向主路径
Evidence 契约	态势文很难整表硬套 E/F/P；硬套易空转或编数据
与双 flavor	既非火绒单样本，也非卡巴战役叙事
数据前提	本 skill 默认没有厂商云遥测，agent 产不出同级统计

结论：边缘契合，不建议做成第 3 个默认全文 flavor。

• 不纳入默认模板（避免和「精不在多」、Evidence 主线打架）
• 若后续确有「多 case / 自有统计 / 明确要写态势」需求，可再考虑极薄可选章节（周期摘要 → 数据来源与范围 MUST 诚实写清 → 占比表 → 热点链到个案 → 建议），而不是再开一套平行大模板

---

2. 安全科普 / 教程类（360《OpenClaw 安全部署与实践指南》类）

是什么：面向个人/中小团队的部署与运维手册（风险全景 → 实操部署 → 风控 → 巡检/熔断 → 企业架构），文风更人性化，体裁是产品/运维科普，不是分析收尾报告。

维度	判断
任务类型	部署教程 ≠ 逆向/样本/渗透分析报告
docs-generator	主业是写报告/writeup + Evidence 链，不是护航手册
主题	与 reverse-skill「分析目标」主业关联弱

结论：不符合本 skill 包核心基调，不纳入 vendor-report / 不新开 flavor。

• 人性化表达（先风险、步骤可勾选、排障附录）如有需要，最多吸收为通用技术文档文风原则，不单开分析报告模板

---

总表

类型	是否符合整体基调	处理
卡巴 APT / 火绒单样本	✅ 已落地（PR #68）	保持 apt / malware
360 态势/月刊	⚠️ 边缘	不进默认；有真实统计需求再议极薄可选节
360 科普/部署教程	❌ 不合核心	不纳入分析报告体系

继续坚持：结构精、证据硬、只抽结构不抄厂商原文。

若你认可上述取舍，问题 2 相关讨论可视为收敛；若坚持要态势可选节的最小骨架，请直接说，我们再开小 PR（仍不碰科普全文模板）。