reverse-skill —— AI Agent 的网络安全技能路由包

项目地址：https://github.com/zhaoxuya520/reverse-skill
作者：zhaoxuya520 ｜ License：MIT ｜ Stars：4.2万+

继上一篇分享的 REA 之后，再分享一个同赛道的开源项目——reverse-skill，一个面向 AI Agent 的网络安全技能路由包。4.2 万+ Star，定位是解决 AI Agent 做安全任务时的"不知道用什么工具、用什么方法"的问题。

项目简介

当 AI Agent（Claude Code、Cursor、Cline、Codex 等）遇到一个 APK、一份二进制、一段前端 JS 加密代码、一道 CTF 题或一个渗透测试目标时，它往往不知道该用 jadx 还是 apktool、该上 Frida 还是 IDA、该走什么流程。reverse-skill 就是干这个的：把任务自动路由到正确的方法论，检查本地可用工具，然后执行一套可复现的工作流，而不是让 Agent 瞎猜命令。

核心链路是这样的：

用户任务
  → RULES.md（全局规则，先过授权与范围检查）
  → MASTER-ROUTING（主路由梯子）
  → 场景 Skill → 工具 / MCP / 脚本
  → 时间线 + 证据链 → 报告

三大核心能力

AI 自动路由：44 条路由规则（R0–R45），由一份结构化配置 routing.json 统一驱动，175 个回归测试用例保障路由不出错，CI 在 Windows + Ubuntu 双平台跑
按需自举工具链：自动检测本机已安装的安全工具（jadx、apktool、Frida、radare2 等），缺什么按需装，不瞎折腾
自动进化经验库：field-journal 机制沉淀每次任务的经验，同样的坑不踩第二遍

覆盖的场景

场景	入口
APK / Android 逆向	`skills/apk-reverse/`
iOS / 移动端	`skills/mobile-reverse/`
二进制逆向（exe/dll/so/elf）	`skills/ida-reverse/`、`skills/radare2/`
.NET / C#	`skills/dotnet-reverse/`
前端 JS / 加密参数	`skills/js-reverse/`
恶意软件 / YARA	`skills/malware-analysis/`
渗透测试 / 扫描	`skills/pentest-tools/`
CTF 竞赛	`CTF-Sandbox-Orchestrator/`（42 个子技能）
固件 / IoT	`skills/firmware-pentest/`
Pwn / 漏洞利用	`skills/pwn-chain/`
API / GraphQL 安全	`skills/api-security/`
LLM / AI 安全	`skills/llm-security/`

快速上手

环境要求：JDK（jadx/apktool 用）、Node.js 22.12+、Python 3.x，再加一个 AI 代码客户端。

git clone https://github.com/zhaoxuya520/reverse-skill.git

然后按平台刷新工具索引：

# Windows
powershell -File skills/scripts/refresh-tool-index.ps1
# Linux / macOS
bash skills/scripts/refresh-tool-index.sh

之后在你的 AI 客户端里加载这个仓库（通过 project instruction 或 adapter 机制），扔给它一个 APK 或一道 CTF 题，它就会按路由规则自己走流程了。仓库里有 examples/ctf-demo 可以先跑通一个完整示例。

另外还有给 AI Agent 看的专用入口 README_AI.md，以及中文文档 README_zh.md。

安全设计值得一提

授权门禁：RULES.md 规定动手前必须先过 scope 检查，未授权的目标不允许执行任何动作
证据链：每个 finding 都要求有 Evidence 支撑，报告可追溯
供应链检查：CI 里有 pin gate，未锁定的自动安装会被拦截

适用场景

用 AI Agent 做逆向/安全研究，不想每次都手写 playbook
CTF 选手想把常见题型的工作流固化下来
安全团队想给 AI 定的行为立规矩：先授权、再动手、全程留痕
和 REA 搭配：REA 负责"看懂二进制"，reverse-skill 负责"任务路由与流程编排"

注意事项

项目明确声明仅用于合法的安全研究、教育、CTF 竞赛以及有明确授权的系统测试，未授权的扫描、利用一律禁止，后果自负
部分重型工具（IDA Pro 等）需要自行准备授权或安装
路由规则改动后记得跑回归测试：skills/scripts/test-routing.ps1

感兴趣的可以直接去仓库看看，中文文档很全：

👉 zhaoxuya520/reverse-skill

如果觉得有用，别忘了给原作者点个 Star ⭐