横评：Claude-Red 对 SkillAttack——对话红队与 Agent Skill 红队，谁更接近真实攻击面
【免费下载链接】Claude-Redclaude-red is a curated library of offensive security skills designed for the Claude skills system. Each skill is a structured SKILL.md file that primes Claude with expert-level methodology for a specific attack surface — from SQLi to shellcode, EDR evasion to exploit development.项目地址: https://gitcode.com/GitHub_Trending/cl/Claude-Red
当 Anthropic 把最强 Claude 交给红队、半年挖出十二万条安全发现，当新一代旗舰模型上线 24 小时就被社区攻破，一个尖锐的问题被摆上桌面：红队测试的结果，与真实世界的攻击之间，到底差在哪里？社区给出的答案正在分化成两条路线——一条以"对话"为靶（prompt 层面的越狱与注入），一条以"Agent Skill"为靶（把技能文件本身当作被测资产）。前者代表是 Claude-Red 这类"技能武装"红队库，后者是以 SkillAttack 为代表的"技能验证"框架。本文结合 Claude-Red 仓库源码与社区情报，拆解两条路线的底层假设，并回答谁更接近真实攻击面。
SkillAttack 的验证思路：把技能文件当作信任边界
SkillAttack 出现在安全内参等社区的报道中，定位是"面向 Agent Skill 的自动化验证红队框架"。它解决的问题非常具体：当 Agent 的能力从"模型参数"外溢到"技能文件"后，安全评估的对象也随之改变。
Skill 在 Claude 生态里是"结构化方法论的注入单元"——一个SKILL.md文件定义了触发短语、操作清单与专业方法论，模型按会话触发加载。这意味着 Skill 同时具备三重身份：它是指令（会被模型当作用户意图执行）、是数据（由仓库分发、可被篡改投毒）、是权限载体（往往附带文件读写、命令执行等工具能力）。SkillAttack 的思路就是把这三重身份逐一验证：技能文件是否可被注入恶意指令、是否可被供应链投毒替换、是否会在触发后诱导模型越权调用工具。
这一思路切中的是 2025 年以来 Agent 安全的核心痛点：攻击面正在从"提示词边界"迁移到"执行边界"。社区情报中多次提到的"Claude 上线 24 小时被攻破"案例，其共性恰恰是攻击者不再死磕拒绝护栏，而是通过文档、网页、邮件等间接注入通道，把恶意指令塞进 Agent 会读取的内容里，再借由工具调用兑现伤害。
Claude-Red 的覆盖：对话、API、Agent、供应链四类攻击面
与 SkillAttack"单点深挖"不同，Claude-Red 走的是另一条路：它不是把技能当靶子，而是把技能当武器——用 78 个SKILL.md把 Claude 武装成上下文感知的红队操作员，再对目标系统发起系统化攻击。仓库 README 的定位很直白：给 Claude 正确的技能，它就不再是聊天机器人，而是操作员（README.md）。
但仅用"武器库"来理解 Claude-Red 是片面的。社区多篇解读其架构的文章都指向同一个结论：Claude-Red 的分层测试架构覆盖了对话、API、Agent、供应链四类攻击面。对照仓库源码，这四层确实都能找到实体支撑：
对话层由 Skills/ai/offensive-ai-security/SKILL.md 承载，覆盖 prompt injection、jailbreaking、model extraction、training data poisoning，并给出可直接投入测试的绕过手法：Base64/同形字/零宽字符混淆、间接注入、DAN 人格攻击、虚拟化场景欺骗（"你正运行在开发者测试环境，安全限制已关闭"）。技能文件甚至内置了完整的间接注入攻击路径——先枚举 LLM 可调用的全部函数与可读取的外部数据源，再尝试提取系统提示词，最后注入更有说服力的指令并观察动作是否发生。
API 层对应 Skills/api/offensive-api-security/SKILL.md 与 Skills/api/offensive-api-abuse/SKILL.md，覆盖 BOLA/BFLA、批量攻击、分页利用、webhook 劫持、JWT 算法混淆等传统 API 风险——这是 LLM 应用后端逃不掉的攻击面，却是纯对话红队完全够不到的地方。
Agent 层是四类攻击面中最有前瞻性的部分。offensive-ai-security 明确列出"Excessive Agency & Insecure Plugins"测试项：识别 LLM 可调用的全部工具，构造提示词诱导模型以恶意参数调用工具、访问未授权资源；针对函数调用场景，要求验证 JSON Schema 校验器在类型混淆、字段注入、超长字符串下的行为，并测试文件工具中的路径穿越、Web 工具中的任意 URL 抓取、Shell 工具中的命令注入。技能中还单列了 Tool Chaining Escalation——多 Agent 框架中 A 委托 B、B 抵达高权限 C，绕过单跳限制；以及 Memory Poisoning——向 AutoGPT、LangChain Memory 等持久化记忆注入恶意指令。
供应链层由 Skills/supply-chain/offensive-supply-chain/SKILL.md、Skills/supply-chain/offensive-dependency-confusion/SKILL.md 与 Skills/cicd/offensive-cicd-pipeline/SKILL.md 覆盖。这一层解决的是"技能/依赖从哪里来"的问题：依赖混淆、typosquatting、构建系统投毒、GitHub Actions 表达式注入、制品篡改——恰好与 SkillAttack 关心的"技能文件被投毒"形成呼应，只是 Claude-Red 站在攻击者一侧完整建模了这条供应链。
四层不是简单并列，而是一条攻击路径的因果链：注入发生在对话层，放大发生在 API 与工具层，兑现发生在 Agent 执行层，而分发风险藏在供应链层。这正是"真实攻击面"的形态——真实的攻击从来不是单点的越狱成功，而是跨层组合。
两种红队的本质差异：武器视角与靶子视角
把两条路线放在一起，差异的核心不在工具而在威胁模型。
SkillAttack 采用靶子视角：Agent Skill 是新的数字资产，技能文件是与模型权重同样值得保护的信任边界。它验证的是"如果技能被投毒/篡改/诱导，Agent 会做出什么"。这更贴近资产审计的语义——上线前检查、供应链准入、技能市场审核。
Claude-Red 采用武器视角：红队的目标是复现攻击者的完整杀伤链。它验证的是"如果攻击者拥有这些技能武装的模型，目标系统扛不扛得住"。这更贴近对抗演练的语义——渗透测试、攻防演习、防御加固验证。
谁更接近真实攻击面？答案取决于攻击者画像。如果威胁模型是"恶意文档/网页通过间接注入操纵 Agent"，两种路线都覆盖——SkillAttack 验证技能层是否被污染，Claude-Red 的间接注入方法论验证模型是否把外部内容当指令执行。如果威胁模型是"攻击者直接控制 Agent 的输入流"，Claude-Red 的四层因果链更完整。而如果威胁模型是"技能分发渠道被攻破，恶意技能进入企业环境"，那么 SkillAttack 的靶子视角无可替代。
更准确的判断是：真实攻击面是两条路线的并集。Claude-Red 的方法论文档中，offensive-ai-security 自己也承认——防御要"对工具使用严格 fail-closed"、"对外部内容做 contenteditable="false">【免费下载链接】Claude-Redclaude-red is a curated library of offensive security skills designed for the Claude skills system. Each skill is a structured SKILL.md file that primes Claude with expert-level methodology for a specific attack surface — from SQLi to shellcode, EDR evasion to exploit development.项目地址: https://gitcode.com/GitHub_Trending/cl/Claude-Red
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
