每天一个开源项目#56 reverse-skill：11K Stars 的安全 Agent 路由器

每天一个开源项目#56 reverse-skill：11K Stars 的安全 Agent 路由器

GitHub Trending 第 1 名｜快照日期：2026-08-01｜11,116 Stars｜1,696 Forks｜主语言：PowerShell｜主仓库许可证：MIT

项目地址：github.com/zhaoxuya520...

📋 项目概览

项目	信息
项目名	zhaoxuya520/reverse-skill
一句话定位	面向代码 Agent 的逆向工程、授权安全测试与安全研究技能路由包
今日 Trending	第 1 名，共抓取 12 个项目
Stars / Forks	11,116 / 1,696
Open Issues	9
主语言	PowerShell；实际产品主体是 Markdown 技能与规则语料
许可证	主仓库 MIT；内含 CTF 组件为 GPLv3，外部 Pentest Swarm AI 为 AGPL-3.0
创建时间	2026-05-13
正式版本	GitHub Release v1.0.0，发布于 2026-07-17
审计快照	7b3bfdee898f8fa4b25d0e2fc685e0176f46ce87，提交时间 2026-07-31
支持环境	Windows 主路径；Linux、macOS、Kali 提供 Bash 与平台文档

为什么从 12 个项目中选择它？

今日榜单同时出现了 OpenWork、Copilot SDK、Chatwoot、ESP32-Bit-Pirate、jcode 等成熟度或工程深度很高的候选。reverse-skill 的特殊价值不在于再造一个反编译器，而在于试图解决一个更上游的问题：当 Agent 面对 APK、ELF、JS 加密、PCAP、固件或 CTF 时，如何先选择正确的方法论，再调用正确的工具，并把范围、证据和复盘固定下来。

这让它从"提示词合集"跨到了"工作流治理层"：仓库不仅有场景知识，还包含可执行路由器、工具探测与自举脚本、授权范围门禁、证据链契约以及项目内经验日志。它当然不是安全操作系统，也不提供真正的隔离执行环境，但对希望把 Claude Code、Codex、Cursor、Cline 等代码 Agent 用于安全研究的人来说，这种路由与治理层比单个工具封装更值得研究。

选择它还有两个现实信号：一是仅约 79 天便达到 11K Stars，并登上今日榜首；二是 1,696 个 Forks 对应约 15.3% 的 Fork/Star 比，说明不少用户不只是收藏，而是准备复制、定制或接入自己的 Agent 环境。

🔥 为什么值得关注

安全分析是典型的"工具多、分支多、错误成本高"任务。APK 分析可能从 jadx 开始，也可能需要 apktool、Frida、JNI 原生层和证书校验绕过；二进制分析可能在 IDA、Ghidra、radare2 之间切换；前端参数分析又涉及浏览器网络、CDP、AST 与运行时 Hook。大模型如果没有结构化路由，很容易凭印象猜命令、重复安装工具，或者在证据不足时直接下结论。

reverse-skill 把这一过程拆成了明确的控制链：

用户任务
   │
   ▼
RULES.md：触发与全局行为规则
   │
   ▼
MASTER-ROUTING / master-route.ps1：选择 PRIMARY 路径
   │
   ▼
case-init + scope.md：授权、资产、网络范围门槛
   │
   ▼
场景 SKILL.md：方法论与工具调用步骤
   │
   ▼
tool-index + bootstrap：探测或补齐本地工具
   │
   ▼
timeline / workitems / Evidence→Finding→Path
   │
   ▼
报告 + field-journal：交付并沉淀可复用经验

真正值得借鉴的是：它没有把"Agent 会调用工具"误当成完整系统，而是补上了任务路由、授权范围、过程覆盖、证据溯源和经验复用五个经常缺失的环节。与此同时，源码审计也显示，其中不少约束仍然依赖模型遵循 Markdown 指令，不能等同于操作系统强制安全边界。这种"结构先进、执行强度分层"的状态，正是本文分析的重点。

🏗️ 核心特性

1. 39 个 PRIMARY 路由 ID，先分类再执行

skills/MASTER-ROUTING.md 与 skills/scripts/master-route.ps1 定义了 R0～R38 共 39 个路由 ID，覆盖 APK、iOS、JS、.NET、固件、恶意样本、API、云与容器、数字取证、代码审计、OT/ICS、无线网络、macOS、硬件接口和 SDR 等方向。

路由器不是简单的"关键词命中即结束"。它会：

1. 对英文和中文任务文本执行正则匹配；
2. 去重多个候选路由；
3. 按预设优先级选出 PRIMARY；
4. 将其他命中项记录为 secondary；
5. 输出置信度与下一步要打开的 SKILL.md；
6. 生成 route-scope.md，把路由决定落盘。

例如，APK 任务会进入 skills/apk-reverse/SKILL.md，LLM 提示词注入会进入 skills/llm-security/SKILL.md，而无法强匹配的任务回落到通用逆向 R0，并要求进一步查看完整路由矩阵。

powershell -File skills/scripts/master-route.ps1 `
  -Hint "分析这个 APK 的加固与 JNI 调用链"

这段命令的价值不是替 Agent 完成分析，而是先把上下文压缩到一个主方法论，避免一次性把十几万行知识库塞进模型窗口。

2. 工具索引与按需自举分离

仓库把"本机是否有工具"和"如何安装工具"拆成两个层次：

• refresh-tool-index.sh/.ps1：只探测，不安装；生成机器本地的 tool-index.md 与 tool-index.json；
• bootstrap-reverse.sh/.ps1：按 capability 安装缺失工具，支持依赖展开、MCP 配置与可选服务启动；
• bootstrap-manifest.json：声明允许处理的能力，减少 Agent 自由拼接安装命令。

Linux/macOS 可列出的自举能力包括 jadx、apktool、frida、idalib-mcp、jshookmcp、ghidra-mcp、nmap、binwalk、yara、pwntools 等 21 项。审计中实际执行了 bootstrap-reverse.sh --list，输出与脚本声明一致；同时用临时输出路径运行了工具索引刷新，成功生成 6,294 字节 Markdown 和 14,388 字节 JSON，且没有修改 Git 跟踪文件。

供应链上，项目已经为 jadx v1.5.6、apktool v3.0.2 等下载加入 SHA-256 校验，并固定了部分 npm/tag 版本。但脚本也明确允许在缺少已知摘要时仅警告并记录实际哈希，因此它是"部分加固"，还不是完全可复现的依赖锁定系统。

3. scope.md 把授权范围变成任务状态

case-init.ps1 会创建标准化案例目录：

work/<case>/
├── scope.md
├── timeline.md
├── workitems.md
├── evidence/
├── notes/
└── report/

其中 scope.md 记录：

• auth.status：授权是否为 granted；
• in_scope.assets：允许操作的 URL、主机或本地样本；
• out_of_scope：明确禁止的活动；
• network_profile.mode：offline、lab_only、authorized_target_only 或 unrestricted_lab；
• ready_for_act：是否允许进入主动操作阶段。

case-guard.ps1 会解析这些字段，不满足条件时以退出码 2 拒绝继续。这比纯口头提醒更可靠，因为它至少提供了可执行检查。不过，门禁只有在调用链确实执行 case-guard.ps1 时才生效，而且 -Force 可以将失败降级为警告，所以它不是不可绕过的强制沙箱。

4. Evidence → Finding → Path 的证据链

仓库将安全报告的三类对象结构化：

对象	作用	关键字段
Evidence	保存不可变观察	来源、时间、哈希、复现命令、原始摘录
Finding	从证据形成结论	严重性、状态、证据 ID、位置、影响、置信度
Path	描述攻击、调用或解题路径	起点、目标、步骤及其证据/发现关联

其核心规则是：每条 Finding 至少关联一条 Evidence；被标记为 validated 的结论不能只有低置信度；声称已获得权限或数据的 Path 终点必须有已验证证据。这套模型仍然以 Markdown 文件实现，没有数据库事务或不可变日志，但它对小团队和本地 Agent 足够透明，也便于代码审查和版本控制。

5. 项目内经验库，而不是神秘的"自主学习"

README 所说的"自动进化"实际上是一个可读、可审计的治理循环：

任务选择
  → 执行与证据
  → 报告交付
  → 脱敏写入 field-journal
  → 更新索引
  → 下次按关键词检索并复用

经验条目需要 Agent 在任务结束后写入，内容包括执行链、踩坑、工具发现与可复用模式。它不会训练模型参数，也不是后台自动学习服务；更准确的说法是"由 Agent 维护的项目级操作记忆"。这种保守实现反而更适合安全任务，因为人可以直接检查它究竟记住了什么。

6. 代码 Agent 与真实工具之间的桥接层

项目本身不取代 jadx、Frida、IDA、Ghidra、radare2、Burp Suite 或 Nmap，而是通过脚本、MCP 配置示例和方法论文档把它们组织起来。README 给出的 MCP 示例包括：

• anything-analyzer：浏览器自动化与 HTTP 捕获；
• idapro：IDA 工具接口；
• jshookmcp：JS/CDP/Hook/AST；
• burpsuite：本地 Burp MCP 桥接。

这意味着它的护城河主要是知识组织、决策协议和操作契约，而不是新的反编译算法。

🔬 技术架构深度解析

架构分层

┌───────────────────────────────────────────────────────────┐
│  Agent 接入层                                              │
│  Claude Code / Codex / Cursor / Cline / Kiro / Windsurf   │
└────────────────────────────┬──────────────────────────────┘
                             │ Rules / project instructions
┌────────────────────────────▼──────────────────────────────┐
│  决策控制层                                                │
│  RULES.md → MASTER-ROUTING → PRIMARY SKILL                │
│  中英关键词、优先级、secondary 路由、置信度                │
└────────────────────────────┬──────────────────────────────┘
                             │
┌────────────────────────────▼──────────────────────────────┐
│  Ops 治理层                                                │
│  scope / role / timeline / workitem / evidence / finding  │
│  case-guard 对授权、资产、网络模式执行轻量检查             │
└───────────────┬────────────────────────────┬──────────────┘
                │                            │
┌───────────────▼──────────────┐ ┌───────────▼──────────────┐
│  知识层                     │ │  工具执行层               │
│  83 个 SKILL.md 入口        │ │  tool-index 探测          │
│  228 个 references 文件     │ │  manifest 控制的 bootstrap│
│  40+ CTF 场景技能           │ │  CLI / MCP / 本地服务     │
└───────────────┬──────────────┘ └───────────┬──────────────┘
                └──────────────┬─────────────┘
                               ▼
┌───────────────────────────────────────────────────────────┐
│  交付与记忆层                                              │
│  Evidence→Finding→Path / docs-generator / field-journal   │
└───────────────────────────────────────────────────────────┘

源码规模：它首先是知识系统，其次才是 PowerShell 项目

GitHub 将主语言标记为 PowerShell，但 Linguist 默认不把 Markdown 纳入语言百分比。对审计提交的跟踪文件进行本地统计后，可以看出真实产品结构：

指标	审计结果	解读
Git 跟踪文件	508	不含 .git 与运行后生成的本机索引
Markdown 文件	402	占全部跟踪文件约四分之三
Markdown 物理行	119,842	方法论、路由、参考与报告模板是主体
SKILL.md 入口	83	包含主技能、领域技能与 CTF 子技能
references 文件	228	采用入口文件 + 按需参考的渐进加载结构
可执行脚本文件	37	PowerShell、Shell、Python、JavaScript、Batch
可执行脚本物理行	8,761	路由、探测、自举、案例与辅助工具
CTF 目录文件	133	是仓库规模的重要组成部分
skills/ops 文件	8	授权、角色、证据链与时间线契约

因此，语言分布不能直接用来描述产品核心：

GitHub Linguist 语言	占比
PowerShell	43.5%
Java	24.9%
Shell	24.1%
JavaScript	3.9%
Python	3.0%
Batchfile	0.6%

Java 的较高占比主要来自内置 Burp MCP 扩展，PowerShell 与 Shell 构成可执行控制面，而 11.9 万行 Markdown 才是路由与领域知识主体。

哪些能力是代码强制，哪些只是 Agent 指令？

能力	执行强度	证据与边界
任务关键词路由	可执行	master-route.ps1 以正则和优先级确定 PRIMARY
工具存在性探测	可执行	refresh-tool-index.sh/.ps1 生成本机索引
下载完整性	部分可执行	已知摘要会校验；缺少摘要时允许警告后继续
Scope 就绪检查	可执行但可绕过	case-guard.ps1 默认退出 2，-Force 可继续
"先路由后执行"	Agent-mediated	依赖客户端加载并遵循规则文件
每五次工具调用自检	Agent-mediated	无运行时计数器强制验证
完成后生成图表与 journal	Agent-mediated	有检查表，没有统一事务性 orchestrator
不越过授权资产范围	混合	有 scope.md 与 guard，但缺少网络层出站隔离
自动进化经验库	Agent-mediated	Agent 写 Markdown 并更新索引，不是自动训练
人工可读报告质量	Human-reviewed	需要人审查证据、截图和结论

这是评估 Agent 技能仓库时最重要的一条边界：Markdown 中写了 MUST，不代表运行时一定会执行。 reverse-skill 比普通提示词合集多了若干确定性脚本，但仍需在容器、虚拟机、代理白名单或最小权限账户中补齐系统级隔离。

版本与文档漂移

版本面存在一个值得注意的不一致：

• 根目录 VERSION 为 1.0.0；
• 最新 GitHub Release 是 v1.0.0，发布时间为 2026-07-17；
• 仓库同时存在一个更早创建的 v2.0.0 注释标签，标签时间为 2026-05-17，指向早期 Kali/attack-chain 版本；
• 当前 CHANGELOG.md 把新增的 R21～R38 领域路由放在 Unreleased。

因此，本文把 v1.0.0 视为当前正式发布版本，不把标签名最大的 v2.0.0 当作最新稳定版。这个现象也提醒使用者：部署时应固定具体提交 SHA，而不是只按语义版本名猜测新旧。

安全边界与残余风险

仓库自带的静态安全审计报告称，已扫描可执行脚本中的管道下载执行、危险删除、硬编码密钥和回连形态，未发现植入式后门；同时披露了 npm、pip、GitHub Release 与第三方 MCP 的供应链残余风险。本文的源码抽查确认了以下事实：

1. refresh-tool-index.sh 是探测型脚本，默认写本机索引；
2. bootstrap-reverse.sh 可以执行 Homebrew、apt、npm、pipx、GitHub 下载与 MCP 配置写入，权限明显更高；
3. 删除函数对 /、$HOME、工具根目录和根目录外路径设置了拒绝条件；
4. 部分 Release 有固定 SHA-256，缺少固定摘要时仍允许警告模式；
5. RULES.md 要求首次使用时写入 Agent 的全局配置，这种跨项目注入应由用户审查后再执行；
6. 内含攻击方法论的 Markdown/JSON 不会自行运行，但 Agent 可能在被提示后调用真实工具。

结论是：可以把它当作可审计的工作流材料和本地工具编排参考，但不应未经审查直接授予管理员权限，更不能把 scope.md 误认为网络沙箱。

📖 README 核心内容摘要

README 将项目定位为"Cybersecurity Skills Router"，强调四个设计目标：

1. 任务到方法论的路由：先识别 APK、ELF、JS、PCAP、CTF、固件等场景；
2. 本地工具发现：通过机器本地索引知道 jadx、Frida、IDA、Burp 等是否可用；
3. 按需补齐工具链：只安装当前路径需要的 capability；
4. 复用经验：通过 field-journal 记录执行链、踩坑与改进动作。

README 推荐 Agent 按以下顺序工作：

README_AI.md
  → 生成 tool-index
  → RULES.md
  → MASTER-ROUTING.md
  → case-init / scope
  → PRIMARY SKILL.md
  → timeline + evidence
  → report + field-journal

支持场景包括 APK/iOS、二进制、.NET、JS、恶意样本、授权扫描、攻击链、CTF、固件、补丁差分、Pwn、API、供应链和 LLM 安全。这里的"支持"主要指仓库提供路由与方法论入口；真实执行能力仍取决于本机是否安装对应工具、Agent 客户端是否支持 MCP/外部命令，以及目标环境是否在授权范围内。

设计哲学

• Route first, execute second：先缩小方法论，再触碰工具；
• Index before install：先确认现有环境，避免重复安装；
• Scope before ACT：主动操作前先形成授权与资产边界；
• Evidence before conclusion：结论必须能回到观察和复现命令；
• Journal after delivery：沉淀的是脱敏经验，不是业务敏感数据。

这五条原则比具体工具版本更有长期价值，也可以迁移到 Android 性能排查、线上故障分析、代码审计等非安全工作流。

🚀 快速上手指南

仅用于自有设备、公开 CTF、实验环境或明确授权范围。建议先阅读脚本，再在隔离账户或虚拟机中运行自举。

1. 克隆并固定审计过的提交

git clone https://github.com/zhaoxuya520/reverse-skill.git
cd reverse-skill
git checkout 7b3bfdee898f8fa4b25d0e2fc685e0176f46ce87

2. 生成本机工具索引

Linux 或 macOS：

bash skills/scripts/refresh-tool-index.sh

Windows：

powershell -File skills/scripts/refresh-tool-index.ps1

执行后检查：

skills/tool-index.md
skills/tool-index.json

这一步只做探测，不应安装工具。本文已在 macOS 审计环境用临时输出路径实际执行成功。

3. 查看可以按需自举的能力

bash skills/scripts/bootstrap-reverse.sh --list

然后只为当前任务安装必要能力，例如 Android APK 静态/动态分析：

bash skills/scripts/bootstrap-reverse.sh jadx apktool frida

这条安装命令会触发包管理器或网络下载，运行前应检查 bootstrap-manifest.json、安装目录和 MCP 配置路径。

4. 初始化案例并明确范围

Windows/PowerShell 主路径示例：

powershell -File skills/scripts/case-init.ps1 `
  -Hint "APK 静态分析" `
  -CaseName "apk-lab" `
  -AuthGranted `
  -TargetUrl "file:///absolute/path/to/sample.apk" `
  -NetworkProfile "offline"

随后阅读生成的 work/apk-lab/scope.md，确认授权、目标与网络模式，再打开路由选中的 SKILL.md。

5. 最小使用方式：只把它当知识路由器

如果不希望脚本修改环境，可以完全不运行 bootstrap，只按以下顺序阅读：

skills/SKILL.md
  → skills/MASTER-ROUTING.md
  → 对应领域的 SKILL.md
  → 仅按需读取 references/

这种方式风险最低，也最能体现项目的渐进式上下文加载设计。

本次验证说明

验证项	结果
浅克隆与提交固定	成功，SHA 为 7b3bfde，工作树干净
Bash 关键脚本语法检查	通过
bootstrap-reverse.sh --list	实际执行成功，列出 21 项 capability
refresh-tool-index.sh	实际执行成功，临时生成 Markdown 与 JSON
PowerShell 全量 smoke	未执行：审计主机未安装 pwsh
真实 APK/目标分析	未执行：本次只审计仓库，不对任何目标 ACT
性能基准	仓库未提供可比运行时基准，本文不虚构吞吐或准确率

📊 增长速度与社区热度

增长指标

指标	数值	解释
Stars	11,116	2026-08-01 Trending 快照
Forks	1,696	Fork/Star 约 15.3%
Open Issues	9	约每千 Star 0.81 个开放 Issue；不能单独代表缺陷率
仓库年龄	约 79.4 天	从创建时间到榜单快照时刻
生命周期平均 Stars/天	约 140.0	仅作长期平均基线，不代表今日增量
API 列出的贡献者	8	贡献计数合计 89 次
头部贡献者占比	约 71.9%	64/89，维护仍较集中
正式 Release	1 个	v1.0.0
最近主分支提交	2026-07-31	距榜单快照不足一天

必须强调：预运行快照没有保存"今日新增 Stars"字段。 Trending 第 1 名只能证明它在当日热榜排序靠前，不能倒推出一天新增多少 Star。约 140 Stars/天是从仓库创建到快照的生命周期平均值，适合说明早期扩散速度，不是日增长承诺。

Fork 比例较高，说明该项目很适合被组织或个人复制后加入自定义规则、私有工具路径和内部安全流程。另一方面，贡献量约 71.9% 集中在头部维护者，且最新十条主分支提交多数为文档更新；这意味着生态热度已经很高，但治理、版本一致性和多人维护成熟度仍处于早期阶段。

今日完整 Trending 榜单

下表严格按脚本保存的 12 项顺序排列；快照未保存其余项目的当日 Star 增量，因此不做补写。

排名	仓库	排名	仓库
1	zhaoxuya520/reverse-skill	7	chatwoot/chatwoot
2	different-ai/openwork	8	agavra/tuicr
3	mvanhorn/last30days-skill	9	usekaneo/kaneo
4	paperswithbacktest/awesome-systematic-trading	10	geo-tp/ESP32-Bit-Pirate
5	microsoft/AI-For-Beginners	11	deepfakes/faceswap
6	github/copilot-sdk	12	1jehuang/jcode

社区成熟度判断

• 热度：高。 79 天达到 11K Stars、1.7K Forks，并位列榜首；
• 工程规模：中高。 508 个跟踪文件、11.9 万行 Markdown 和 8,761 行脚本，远超单文件提示词；
• 发布成熟度：中低。 只有一个正式 Release，版本标签顺序存在历史不一致；
• 维护分散度：中低。 已有 8 位 API 可见贡献者，但提交仍明显集中；
• 运行验证成熟度：中等。 有 smoke、路由一致性和 P0 friction 脚本，但 PowerShell 为主，跨平台完整测试证据仍有限；
• 安全成熟度：中等。 有 scope、guard、哈希与自审计，但 Agent 指令和本机脚本不能替代沙箱、最小权限及网络访问控制。

🎯 适用场景

场景	推荐程度	使用方式
Android 开发者学习 APK/so/JNI 分析	高	使用 APK 路由、jadx/apktool/Frida 方法论，优先离线样本
企业内部授权安全评估	中高	将 scope、Evidence→Finding→Path 接入现有审批和报告流程
CTF 与安全实验室	高	使用 CTF 子技能和隔离网络，适合多类别题目路由
Claude Code/Codex 的安全任务模板	高	复用规则与渐进加载，不必一次加载全部参考资料
个人工具环境盘点	高	只运行 detection-only 的 tool-index 刷新脚本
无人值守生产渗透	低	缺少强隔离、不可绕过审批与完备审计后端
把它当一站式反编译器	低	项目不实现核心反编译算法，仍依赖外部工具
高合规行业直接部署	低到中	需要代码审计、依赖镜像、权限收敛、出站白名单和内部审批改造

⚖️ 优势、限制与落地建议

优势

1. 路由层清晰：39 个 PRIMARY ID 把广泛安全任务压缩成可管理入口；
2. 知识与执行分离：Markdown 方法论、工具探测和安装脚本边界相对明确；
3. 证据意识强：从 observation 到 finding 再到 path，适合形成可审计报告；
4. 渐进加载 ：SKILL.md 先决策，再按需打开 references，控制上下文成本；
5. 跨平台方向完整：Windows 主路径外，Linux/macOS/Kali 已有实质 Bash 脚本；
6. 适合二次定制：Markdown 和脚本都易于 Fork、审查与接入团队规范。

限制

1. 很多 MUST 仍是软约束：Agent 不遵循规则时，没有统一运行时阻止；
2. Scope 不是沙箱：它不能自动限制进程、网络、文件系统或凭证访问；
3. 全局配置写入风险较高：首次安装指令要求修改 Agent 全局规则，可能影响其他项目；
4. 版本语义有漂移 ：v2.0.0 标签早于正式 v1.0.0，部署需固定 SHA；
5. 供应链未完全锁定：npm、pipx、包管理器与部分无固定摘要下载仍有风险；
6. 质量并不均匀：83 个技能入口与 228 个参考文件规模很大，需要逐领域验证准确性与时效性；
7. 缺少统一运行时指标：没有可用于比较路由准确率、任务成功率或执行成本的公开基准。

推荐落地路径

第一阶段：只读接入
  固定 commit → 审查 RULES/MASTER-ROUTING → 只按需加载知识

第二阶段：低权限探测
  在隔离账户运行 refresh-tool-index → 不运行 bootstrap

第三阶段：白名单工具
  审查 manifest 与下载摘要 → 内部镜像 → 最小权限安装

第四阶段：团队治理
  scope 接审批单 → 网络白名单 → Evidence 进审计存储
  → 人工复核 Finding → 脱敏后才写 field-journal

对于企业使用，最合理的做法不是直接接受项目的全局注入，而是提取路由思想、scope schema 和证据链，在已有的 IAM、代理、终端管控与审计系统中重新实现强制边界。

💡 总结

reverse-skill 的真正创新不是"AI 会逆向"，而是把安全 Agent 从随机选工具推进到一条相对完整的工程链：先路由、再定范围、按需准备工具、以证据驱动结论、最后沉淀经验。 它用 402 个 Markdown 文件承载知识，用 37 个脚本提供部分确定性控制，是一个知识系统与轻量执行框架的混合体。

11K Stars 与 15.3% 的 Fork/Star 比证明了市场确实需要这种安全 Agent 工作流。但使用者也应保持清醒：Agent-mediated 检查表不是强制执行，scope.md 不是网络沙箱，"自动进化"也不是模型训练。把它固定在明确提交、低权限环境和授权资产范围内，它会是很有价值的路由器与团队流程样板；把它直接当成无人值守安全平台，则超出了当前代码能够证明的能力。