前言¶

做渗透测试或 SRC 挖洞时，常见痛点是任务被拆得很碎：先做资产侦察，再找漏洞，接着验证逻辑与越权、注入类问题，最后写报告定级。每一步都有成熟的方法论，但散落在各处，人工拼凑既耗时也容易漏域。另一个问题是，AI 助手在接到这类任务时，如果没有体系化的指导，容易给出零散甚至无依据的步骤。

KLSEC 针对的就是这一点：把上述各域的方法论与清单整理成一个知识库，让 AI 依据库中内容直接完成工作，而不是临场发挥。

这是什么¶

KLSEC——AI自动化渗透测试与SRC漏洞挖掘流水线技能，是一份面向授权安全测试与安全建设的方法论与知识库。它不产出工具，而是提供「遇到什么情况、按什么顺序、检查哪些项」的结构化指引。

基本信息如下（来源：SkillHub 抓取资料）：

• 坐标：@indiv-xiaoyao/klsec
• 版本：1.0.1
• 来源：community
• 分类：it-ops-security
• 发布者：user_cda4fb86
• 标签：requires_api_key=false

定位上需要区分一点：本版为知识库版，AI 依据本库方法论与清单直接完成工作，不含任何可执行脚本与外部依赖。也就是说，它解决的是「怎么做才系统」的问题，不提供现成的攻击载荷或扫描器。

核心功能¶

从官方简介看，KLSEC 的覆盖域比较广，可以按几组来理解。

资产与暴露面：资产侦察、资产测绘、子域名。

漏洞探测与绕过：漏洞探测、WAF 相关、WAF 绕过、未授权、SQL 注入、XSS、SSRF、文件上传、反序列化、Fuzz。

逻辑与身份：逻辑漏洞、越权/IDOR、GraphQL、JWT、OAuth。

基础设施与供应链：内网、云安全、K8s、供应链。

终端与底层：移动与小程序、APP/小程序测试、逆向、二进制分析。

AI 自身安全：AI/LLM 安全。

流程与防御侧：报告与定级、防御与应急、加固、基线、自查、应急响应、入侵处置、安全编码、合规边界。

另外还覆盖了学习与场景类需求：学网络安全、入门、学习路径、面试就业、护网、CTF、等保、靶场搭建。

这些域不是并列堆在一起，而是按「侦察 → 探测 → 验证 → 报告 → 防御」的流程组织，这也是它被称为「流水线」的原因。

安装与启用¶

需要如实说明：抓取资料中没有给出具体的安装命令、目录结构或配置字段，本文不虚构。可核实的入口如下。

官方地址：

https://api.skillhub.cn/indiv-xiaoyao/klsec

SkillHub 页面：

https://www.skillhub.cn/skills/indiv-xiaoyao/klsec

坐标：

@indiv-xiaoyao/klsec

标签 requires_api_key=false 说明启用时不需要 API key。Cursor、Codex CLI、Claude Code 等客户端的安装方式在资料中没有分别说明，建议以上述官方页面为准确认。

典型用法¶

KLSEC 的用法是「用自然语言触发，AI 按库内方法论执行」。官方简介给出的触发词覆盖三类场景，摘录如下。

漏洞挖掘与测试类：

挖洞、SRC、漏洞挖掘、渗透测试、KLSEC、补天、SRC提交、漏洞报告、CNVD、众测、资产测绘、子域名、越权/IDOR、逻辑漏洞、未授权、SQL注入、XSS、SSRF、文件上传、反序列化、WAF绕过、内网、云安全、K8s、供应链、APP/小程序测试、逆向、二进制分析、Fuzz、GraphQL、JWT、OAuth、LLM安全

防御与合规类：

加固、基线、自查、应急响应、入侵处置、安全编码、合规边界

学习与场景类：

学网络安全、怎么入门、学习路径、面试就业、护网、CTF、等保、靶场搭建

实际使用时，把任务描述写具体会比只抛关键词有效。例如「对这批子域名做资产侦察，重点看未授权和越权」或「按报告与定级清单整理这批 SRC 提交」，都能直接命中对应域的方法论。

适用场景与注意¶

适合的场景：需要在授权范围内做系统化安全测试的开发者与安全工程师；需要统一报告与定级口径的 SRC 提交者；以及想按结构化路径入门网络安全、准备护网或等保相关工作的人。

需要注意的限制：

1、本版不含可执行脚本与外部依赖，期望直接拿到 exploit 代码或自动化脚本的，需要另配工具。
2、只应在授权测试与安全建设场景中使用，简介本身也把范围限定在「授权安全测试与安全建设」。
3、评分与下载量为抓取时点数据（评分 100000，下载 2707，安装 0），会随时间变化，不必当作长期指标。
4、来源为 community，属于社区发布，不是安全厂商的官方背书。

结尾¶

KLSEC 的价值在于把分散的渗透与挖洞方法论收成一个可被 AI 调用的知识库，让任务按固定流程推进，减少遗漏和临场发挥。如果你的工作涉及 SRC 提交、渗透测试或安全建设，可以把它作为流程参考。

官方地址：https://www.skillhub.cn/skills/indiv-xiaoyao/klsec