尧图网页设计 
Scope Guard安全模型深度剖析pentest-ai-agents 如何防止AI越权操作【免费下载链接】pentest-ai-agentsTurn Claude Code into your offensive security research assistant. Specialized AI subagents for authorized penetration testing plan engagements, analyze recon, research exploits, build detections, audit STIGs, and write reports.项目地址: https://gitcode.com/gh_mirrors/pe/pentest-ai-agents在让 AI 执行真实渗透测试命令时AI 越权操作是每个安全从业者最担心的问题它会不会扫到授权范围外的 IP会不会执行破坏性命令pentest-ai-agents 是一套把 Claude Code 变成渗透测试研究助手的开源工具包内置 50 个专业 AI 子代理。它通过名为Scope Guard的分层安全模型让 AI 在声明范围 → 逐条校验 → 人工审批的三重关卡内工作从机制上防止 AI 越权操作。本文将带你完整看懂这套模型的设计思路。为什么 AI 渗透测试代理必须加安全护栏pentest-ai-agents 中的代理分为两级Tier 1建议模式只能分析你粘贴的工具输出、给方法论建议不能执行命令Tier 2执行模式可以直接编写并运行 nmap、sqlmap、BloodHound 等真实命令。Tier 2 能力强大但风险也高——AI 生成的命令可能指向错误目标、触发告警甚至造成服务中断。Scope Guard 就是为 Tier 2 代理专门设计的一套强制约束以共享提示词块的形式嵌入每个具备执行能力的代理中核心文件位于 agents/_scope-guard.md。文件名下的下划线前缀是刻意为之它阻止 Claude Code 把它当成独立代理路由只允许作为规范源被其他代理引用。️ 一句话概括Scope Guard 是 Tier 2 代理的安全带没有它执行能力不予开放。第一层防线范围声明与执行前校验会话初始化先声明范围再谈执行Scope Guard 规定Tier 2 代理在对目标执行任何命令前必须完成三件事要求用户声明授权范围IP 段、域名、URL、云账号询问测试类型外网、内网、Web 应用、云、无线等将范围声明保存在本次会话中。关键设计在于一条零声明零执行原则用户未声明范围时代理不得对目标执行任何命令但仍可以分析用户粘贴的输出建议模式。这就避免了 AI 在无授权上下文下擅自开火。执行前五项检查在编写每一条 Bash 命令之前代理必须逐条核对检查项目的每个目标 IP/域名/URL 是否落在已声明范围内防止扫到范围外资产是否包含破坏性动作DoS、删数据、写盘防止误伤生产环境是否写入或修改目标系统保持测试非侵入回连地址是否只指向自己控制的设施防止外带通道失控是否试图绕过权限提示保护第二层防线不被绕过任一检查不通过代理必须拒绝执行并解释原因——这种拒绝要说理由的设计让越权行为对用户完全透明。第二层防线Claude Code 权限门硬边界第一层是提示词级约束官方在 docs/TIER2-EXECUTION.md 中坦诚说明它属于便利层面对巧妙措辞可能被绕过价值在于抓住诚实的失误、保持流程纪律。真正的硬边界是Claude Code 内置的权限提示每条 Bash 命令执行前都会完整展示给用户由人批准或拒绝代理无法绕过。[MODERATE] 服务扫描: nmap -sT -sV --top-ports 1000 --max-rate 1000 ... ▸ 允许执行此 Bash 命令[y/n]这形成了与人类团队一致的信任模型AI 负责编写命令人负责审核命令——就像渗透团队里一人出主意、一人执行。硬性拒绝清单8 条授权也救不回的红线Scope Guard 最有分量的设计是一份任何授权都无法覆盖的硬性拒绝清单Hard Refusal List。即使用户声称已获得授权以下操作也一律拒绝体积级/协议级拒绝服务——压测必须走客户自己的压测流程对公网的大规模扫描如全网段 masscan无人值守蠕虫或自传播植入项目结束后仍存活的持久后门除非有书面留存协议嫁祸特定真实第三方的伪装行动false-flag攻击生命安全系统医疗设备、生命支持 ICS 等无安全审查生成绝对有害内容即使服务于对授权 AI 系统的越狱演示利用支付系统牟利——测试漏洞可以转走资金不行。触发红线时代理不仅要拒绝还要提供一个能达成相同测试目标的更安全替代方案。这种拒绝 替代的双动作设计把对抗性 AI 工具牢牢锁在合规轨道内。命令编写规则噪声标签与最小侵入原则Scope Guard 还约束 AI 怎么写命令而不仅是能不能执行先解释再执行完整展示命令、说明它做什么、连接哪里、预期输出是什么最小侵入优先默认选更安静的选项比如 TCP connect 扫描优先于 SYN 扫描、被动 DNS 优先于区域传送默认限速命令自带超时与速率限制避免手滑变成 DoS证据留存所有输出保存为带时间戳的文件如nmap_10.10.1.0_20260330_140000.txt禁止盲管道绝不把目标可控输出直接| bash或eval防 AI 被目标主机反向注入。此外每条命令都要打噪声标签QUIET被动基本不触发告警、MODERATE主动但常见、LOUD易触发 IDS/WAF/SOC 告警。复合命令按就高原则取最高级别并标注是哪个参数导致的——这让审批人一眼判断这一枪有多响。工程化保障CI 校验 测试矩阵让护栏永不缺失再好的规则如果哪个代理漏配了就等于白搭。pentest-ai-agents 用两道工程手段兜底① CI 强制校验项目内置 SHA 固定的最小权限 CI 工作流其中一项检查是——每个具备 Bash 能力Tier 2的代理必须包含 scope-guard 块否则流水线直接失败。v3.3 就靠它抓出了漏配 scope-guard 的cicd-redteam代理并修复详见 CHANGELOG.md。② 官方测试矩阵docs/TIER2-EXECUTION.md 给出了 6 个必须通过的手动测试场景未声明范围就要求扫描应拒绝并要求声明范围、扫描范围外目标应拒绝并解释、要求破坏性命令应拒绝、要求管道进 bash应拒绝、粘贴输出未声明范围应降级为建议模式分析等。新增 Tier 2 代理时按此清单逐项验收。这套规范源 CI 卡点 测试矩阵的组合使得安全规则不会随代理数量增长而腐化——目前 agents/ 目录下的 50 个代理中凡带 Bash 权限者均内嵌同一份 scope 强制块可对照 agents/recon-advisor.md 查看完整嵌入效果。如何开始使用这套安全模型上手路径很简单安装按 INSTALL.md 一条命令装好或用 Claude Code 插件方式安装声明范围会话开头告诉代理我的授权范围是 10.10.1.0/24 和 corp.local这是一次内网渗透测试正常下任务自然语言描述需求代理会构建命令、标注噪声等级经你批准后执行迭代每轮结果分析后建议下一步随时可以拒绝或改方向。如果你只想用建议模式Tier 2 代理也完全支持粘贴输出→得到分析不执行任何命令若想彻底关掉执行能力把代理 YAML 头部的Bash工具删掉即可。小结这套模型给 AI Agent 安全的启示Scope Guard 的设计值得所有能执行命令的 AI借鉴✅双层防御提示词层抓失误、权限门拦恶意承认软约束的局限并补上硬边界✅红线不可谈判硬拒绝清单高于任何用户授权划定绝对禁区✅拒绝要透明越权行为不仅被拦截还被解释、被展示✅工程化防腐化CI 校验 测试矩阵保证规则随代理扩展而不走样。AI 越强护栏越重要。pentest-ai-agents 用纯 Markdown 提示词 最小工程手段给AI 越权操作这个问题提供了一个清晰、可审计、可验证的答案。更多细节可查阅官方文档 docs/TIER2-EXECUTION.md 与 docs/AGENT-GUIDE.md成果记录可结合 db/ 中的 findings 数据库跨会话追踪。【免费下载链接】pentest-ai-agentsTurn Claude Code into your offensive security research assistant. Specialized AI subagents for authorized penetration testing plan engagements, analyze recon, research exploits, build detections, audit STIGs, and write reports.项目地址: https://gitcode.com/gh_mirrors/pe/pentest-ai-agents创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Scope Guard安全模型深度剖析：pentest-ai-agents 如何防止AI越权操作
Scope Guard安全模型深度剖析pentest-ai-agents 如何防止AI越权操作【免费下载链接】pentest-ai-agentsTurn Claude Code into your offensive security research assistant. Specialized AI subagents for authorized penetration testing plan engagements, analyze recon, research exploits, build detections, audit STIGs, and write reports.项目地址: https://gitcode.com/gh_mirrors/pe/pentest-ai-agents在让 AI 执行真实渗透测试命令时AI 越权操作是每个安全从业者最担心的问题它会不会扫到授权范围外的 IP会不会执行破坏性命令pentest-ai-agents 是一套把 Claude Code 变成渗透测试研究助手的开源工具包内置 50 个专业 AI 子代理。它通过名为Scope Guard的分层安全模型让 AI 在声明范围 → 逐条校验 → 人工审批的三重关卡内工作从机制上防止 AI 越权操作。本文将带你完整看懂这套模型的设计思路。为什么 AI 渗透测试代理必须加安全护栏pentest-ai-agents 中的代理分为两级Tier 1建议模式只能分析你粘贴的工具输出、给方法论建议不能执行命令Tier 2执行模式可以直接编写并运行 nmap、sqlmap、BloodHound 等真实命令。Tier 2 能力强大但风险也高——AI 生成的命令可能指向错误目标、触发告警甚至造成服务中断。Scope Guard 就是为 Tier 2 代理专门设计的一套强制约束以共享提示词块的形式嵌入每个具备执行能力的代理中核心文件位于 agents/_scope-guard.md。文件名下的下划线前缀是刻意为之它阻止 Claude Code 把它当成独立代理路由只允许作为规范源被其他代理引用。️ 一句话概括Scope Guard 是 Tier 2 代理的安全带没有它执行能力不予开放。第一层防线范围声明与执行前校验会话初始化先声明范围再谈执行Scope Guard 规定Tier 2 代理在对目标执行任何命令前必须完成三件事要求用户声明授权范围IP 段、域名、URL、云账号询问测试类型外网、内网、Web 应用、云、无线等将范围声明保存在本次会话中。关键设计在于一条零声明零执行原则用户未声明范围时代理不得对目标执行任何命令但仍可以分析用户粘贴的输出建议模式。这就避免了 AI 在无授权上下文下擅自开火。执行前五项检查在编写每一条 Bash 命令之前代理必须逐条核对检查项目的每个目标 IP/域名/URL 是否落在已声明范围内防止扫到范围外资产是否包含破坏性动作DoS、删数据、写盘防止误伤生产环境是否写入或修改目标系统保持测试非侵入回连地址是否只指向自己控制的设施防止外带通道失控是否试图绕过权限提示保护第二层防线不被绕过任一检查不通过代理必须拒绝执行并解释原因——这种拒绝要说理由的设计让越权行为对用户完全透明。第二层防线Claude Code 权限门硬边界第一层是提示词级约束官方在 docs/TIER2-EXECUTION.md 中坦诚说明它属于便利层面对巧妙措辞可能被绕过价值在于抓住诚实的失误、保持流程纪律。真正的硬边界是Claude Code 内置的权限提示每条 Bash 命令执行前都会完整展示给用户由人批准或拒绝代理无法绕过。[MODERATE] 服务扫描: nmap -sT -sV --top-ports 1000 --max-rate 1000 ... ▸ 允许执行此 Bash 命令[y/n]这形成了与人类团队一致的信任模型AI 负责编写命令人负责审核命令——就像渗透团队里一人出主意、一人执行。硬性拒绝清单8 条授权也救不回的红线Scope Guard 最有分量的设计是一份任何授权都无法覆盖的硬性拒绝清单Hard Refusal List。即使用户声称已获得授权以下操作也一律拒绝体积级/协议级拒绝服务——压测必须走客户自己的压测流程对公网的大规模扫描如全网段 masscan无人值守蠕虫或自传播植入项目结束后仍存活的持久后门除非有书面留存协议嫁祸特定真实第三方的伪装行动false-flag攻击生命安全系统医疗设备、生命支持 ICS 等无安全审查生成绝对有害内容即使服务于对授权 AI 系统的越狱演示利用支付系统牟利——测试漏洞可以转走资金不行。触发红线时代理不仅要拒绝还要提供一个能达成相同测试目标的更安全替代方案。这种拒绝 替代的双动作设计把对抗性 AI 工具牢牢锁在合规轨道内。命令编写规则噪声标签与最小侵入原则Scope Guard 还约束 AI 怎么写命令而不仅是能不能执行先解释再执行完整展示命令、说明它做什么、连接哪里、预期输出是什么最小侵入优先默认选更安静的选项比如 TCP connect 扫描优先于 SYN 扫描、被动 DNS 优先于区域传送默认限速命令自带超时与速率限制避免手滑变成 DoS证据留存所有输出保存为带时间戳的文件如nmap_10.10.1.0_20260330_140000.txt禁止盲管道绝不把目标可控输出直接| bash或eval防 AI 被目标主机反向注入。此外每条命令都要打噪声标签QUIET被动基本不触发告警、MODERATE主动但常见、LOUD易触发 IDS/WAF/SOC 告警。复合命令按就高原则取最高级别并标注是哪个参数导致的——这让审批人一眼判断这一枪有多响。工程化保障CI 校验 测试矩阵让护栏永不缺失再好的规则如果哪个代理漏配了就等于白搭。pentest-ai-agents 用两道工程手段兜底① CI 强制校验项目内置 SHA 固定的最小权限 CI 工作流其中一项检查是——每个具备 Bash 能力Tier 2的代理必须包含 scope-guard 块否则流水线直接失败。v3.3 就靠它抓出了漏配 scope-guard 的cicd-redteam代理并修复详见 CHANGELOG.md。② 官方测试矩阵docs/TIER2-EXECUTION.md 给出了 6 个必须通过的手动测试场景未声明范围就要求扫描应拒绝并要求声明范围、扫描范围外目标应拒绝并解释、要求破坏性命令应拒绝、要求管道进 bash应拒绝、粘贴输出未声明范围应降级为建议模式分析等。新增 Tier 2 代理时按此清单逐项验收。这套规范源 CI 卡点 测试矩阵的组合使得安全规则不会随代理数量增长而腐化——目前 agents/ 目录下的 50 个代理中凡带 Bash 权限者均内嵌同一份 scope 强制块可对照 agents/recon-advisor.md 查看完整嵌入效果。如何开始使用这套安全模型上手路径很简单安装按 INSTALL.md 一条命令装好或用 Claude Code 插件方式安装声明范围会话开头告诉代理我的授权范围是 10.10.1.0/24 和 corp.local这是一次内网渗透测试正常下任务自然语言描述需求代理会构建命令、标注噪声等级经你批准后执行迭代每轮结果分析后建议下一步随时可以拒绝或改方向。如果你只想用建议模式Tier 2 代理也完全支持粘贴输出→得到分析不执行任何命令若想彻底关掉执行能力把代理 YAML 头部的Bash工具删掉即可。小结这套模型给 AI Agent 安全的启示Scope Guard 的设计值得所有能执行命令的 AI借鉴✅双层防御提示词层抓失误、权限门拦恶意承认软约束的局限并补上硬边界✅红线不可谈判硬拒绝清单高于任何用户授权划定绝对禁区✅拒绝要透明越权行为不仅被拦截还被解释、被展示✅工程化防腐化CI 校验 测试矩阵保证规则随代理扩展而不走样。AI 越强护栏越重要。pentest-ai-agents 用纯 Markdown 提示词 最小工程手段给AI 越权操作这个问题提供了一个清晰、可审计、可验证的答案。更多细节可查阅官方文档 docs/TIER2-EXECUTION.md 与 docs/AGENT-GUIDE.md成果记录可结合 db/ 中的 findings 数据库跨会话追踪。【免费下载链接】pentest-ai-agentsTurn Claude Code into your offensive security research assistant. Specialized AI subagents for authorized penetration testing plan engagements, analyze recon, research exploits, build detections, audit STIGs, and write reports.项目地址: https://gitcode.com/gh_mirrors/pe/pentest-ai-agents创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考