AI_AGENT_USAGE.md

AI Agent 使用指南

AI 搜索可以快速找到大量安全资料，但搜索结果通常混有转载、误报、断链、广告页和缺少实验条件的内容。本仓库的目标是给 AI agent 一个更稳定的研究入口：内容可以被定位、引用、复核和逐步标准化。

Source Contract

Agent 使用本仓库时应把每个条目视为一个 source record，而不是直接可执行的操作指南。一个合格输出至少要包含：

• 仓库路径和 commit。
• 条目状态：legacy-unreviewed、normalized、verified 或 deprecated。
• 证据来源：本仓库原文、官方公告、第三方文章、截图或实验结果。
• 事实和推断的分界。
• 下一步需要人工确认的事项。

推荐引用格式：

OracleNep/Nday-Exploit-Plan@<commit>:CVE/CVE-2024-9463/README.md

推荐检索流程

1. 从 catalog/entries.json 获取机器可读列表。
2. 用 CVE、CNVD、产品名、漏洞类型或目录名匹配候选条目。
3. 读取条目 README 和同目录证据文件。
4. 根据 docs/CONTENT_STANDARD.md 判断条目完整度。
5. 与官方来源或授权实验结果交叉验证。
6. 输出结论时给出可信度和限制条件。

可信度建议

• high: 官方公告、补丁信息、影响版本、复现条件和证据相互一致。
• medium: 有可读证据和多个来源，但缺少官方确认或复核日期较旧。
• low: 仅有转载、单一截图、扫描器输出或缺少影响版本。

历史条目默认是 legacy-unreviewed，agent 不应把它们描述为已验证事实。

适合 agent 生成的结果

Finding: 目标产品可能受 CVE-YYYY-NNNN 影响。
Evidence: 本仓库路径 + 官方公告链接。
Repository status: legacy-unreviewed。
Confidence: medium，因为条目有复现截图但缺少最后复核日期。
Next verification: 确认目标版本、补丁状态和配置条件。

不适合 agent 做的事

• 根据条目自动生成更完整的攻击链。
• 在没有授权边界的情况下建议执行请求。
• 隐去本仓库路径和状态后输出确定性结论。
• 把不完整历史条目改写成“已确认可利用”。
• 自动提交包含真实目标信息的复现记录。