Projektbetriebsregeln
Gemeinsamer Besitz, Umfang, Nachweis und Übergaberegeln für das Repository.
- Legen Sie es hinein
- Repository-Stammverzeichnis oder ein engeres Projektverzeichnis
Paralleles Arbeiten ohne prompte Suppe
Agenten
Ein Evidenz-first-Teammodell für parallele Sicherheitsforschung ohne doppelte Prüfungen, vage Übergaben oder imaginäre Ketten.
Mit diesen Dateien werden keine Agenten erstellt oder gestartet. Es handelt sich um einsehbare Weisungsdateien für einen Koordinator und seine Mitarbeiter. Zeigen Sie eine Vorschau an, fügen Sie nützliche Regeln in Ihr Projekt ein und behalten Sie die Beibehaltung engerer Steuerelemente bei.
Vor der Verwendung prüfen
Zwei Dateien, zwei Jobs.
Orchestrierungs-Runbook
Koordinatorschleife, Lead-Schema, Zuweisungspaket und Abschluss-Gates.
- Legen Sie es hinein
- Projektdokumente oder das Arbeitsverzeichnis des Koordinators
Startaufstellung
Ordnen Sie das Team der Frage zu.
Mehr Agenten sind nur dann nützlich, wenn die Eigentumsgrenzen real sind. Beginnen Sie mit der kleinsten Gruppe, die den Anspruch erheben, anfechten und validieren kann.
Einzeljäger plus Skeptiker
Rollen: Oberflächenkartograph + Beweisskeptiker + Berichtsvalidator
Übergabe: Mapper zeichnet eine Hypothese auf. Der Skeptiker greift seinen billigsten Confounder an. Der Validator wird nur dann erneut ausgeführt, wenn er überlebt.
Stopp: Hören Sie auf, wenn der Lead abgelehnt wird, sicher unterstützt wird oder Autorität benötigt, die Sie nicht haben.
Preset: Solo hunter plus skeptic Use: Small surface or one promising lead. Roles: Surface mapper, Evidence skeptic, Report validator Handoff: Mapper records one hypothesis. Skeptic attacks its cheapest confounder. Validator reruns only if it survives. Stop: Stop when the lead is rejected, safely supported, or needs authority you do not have.
JavaScript zur API
Rollen: Kundenanalyst + Surface Mapper + Identitätsanalyst + Beweisskeptiker
Übergabe: Der Client-Analyst stellt Vorgangs-, Quell-, Senken- und Nachrichten-IDs bereit. Der Identitätsanalyst testet eine kontrollierte Grenze.
Stopp: Stoppen Sie die Kundenanalyse, wenn jeder hochrangige Lead einen Unterscheidungsmerkmal und Eigentümer hat.
Preset: JavaScript to API Use: A modern web app with large bundles and undocumented operations. Roles: Client analyst, Surface mapper, Identity analyst, Evidence skeptic Handoff: Client analyst supplies operation, source, sink, and message IDs. Identity analyst tests one controlled boundary. Stop: Stop client analysis when every high-ranked lead has a discriminator and owner.
Identitätsgrenze
Rollen: Identitätsanalytiker + Serveranalyst + Beweisskeptiker + Berichtsvalidator
Übergabe: Der Identitätsanalyst stellt die Rollen-Objekt-Aktionsmatrix und die gepaarte Basislinie bereit. Der Serveranalyst prüft alternative Durchsetzungspfade.
Stopp: Stoppen Sie vor unkontrollierten Identitäten, Aufzeichnungen oder Anbietern.
Preset: Identity boundary Use: OAuth, recovery, tenant, role, or object authorization work. Roles: Identity analyst, Server analyst, Evidence skeptic, Report validator Handoff: Identity analyst supplies the role-object-action matrix and paired baseline. Server analyst checks alternate enforcement paths. Stop: Stop at uncontrolled identities, records, or providers.
Serverabruf und Cloud
Rollen: Server-Analyst + Surface-Mapper + Evidence-Skeptiker + Chain-Analyst
Übergabe: Der Serveranalyst stellt einzigartige Rückrufkorrelationen und negative Kontrollen bereit. Mapper bestätigt den Besitz vor jedem nächsten Hop.
Stopp: Stoppen Sie vor internen Daten, Anmeldeinformationen oder einem nicht genehmigten Ziel.
Preset: Server fetch and cloud Use: URL consumers, webhooks, importers, renderers, and callback-capable services. Roles: Server analyst, Surface mapper, Evidence skeptic, Chain analyst Handoff: Server analyst supplies unique callback correlation and negative controls. Mapper confirms ownership before any next hop. Stop: Stop before internal data, credentials, or an unapproved destination.
Berichtsvalidierung
Rollen: Beweisskeptiker + Berichtsvalidierer + Kettenanalyst
Übergabe: Skeptikerlisten überprüfte Störfaktoren. Der Validator erhält minimale Schritte und Rohbeweise. Kettenanalyst beschriftet ungetestete Kanten.
Stopp: Stoppen Sie, wenn der aktuelle Umfang, die Reproduzierbarkeit oder die kontrollierte Auswirkung nicht festgestellt werden können.
Preset: Report validation Use: A candidate issue needs independent reproduction and severity calibration. Roles: Evidence skeptic, Report validator, Chain analyst Handoff: Skeptic lists confounders checked. Validator receives minimal steps and raw evidence. Chain analyst labels untested edges. Stop: Stop when current scope, reproducibility, or controlled impact cannot be established.
Vollflächige Karte
Rollen: Oberflächen-Mapper + Client-Analyst + Identitätsanalyst + Server-Analyst + Beweisskeptiker + Kettenanalyst + Berichtsvalidator
Übergabe: Alle Rollen schreiben in ein dedupliziertes Lead-Ledger. Der Koordinator weist jedem Lead einen Eigentümer und einen nächsten Diskriminator zu.
Stopp: Stoppen Sie die Sammlung von Duplikaten, veraltete Arbeit und jede Spur ohne begrenzte Frage.
Preset: Full surface map Use: A broad authorized target with distinct client, identity, and server lanes. Roles: Surface mapper, Client analyst, Identity analyst, Server analyst, Evidence skeptic, Chain analyst, Report validator Handoff: All roles write to one deduplicated lead ledger. The coordinator assigns one owner and one next discriminator per lead. Stop: Stop duplicate collection, stale-scope work, and any lane without a bounded question.
Oberflächenkartierer
Besitzt Live-Assets, Technologienachweise, Endpunkte, Parameter, Identitäten und Herkunft. Erstellt Karten, keine überhöhten Erkenntnisse.
Kundenanalyst
Besitzt JavaScript, Quellzuordnungen, Browser-Senken, PostMessage-Protokolle, versteckte Vorgänge und Vertrauensentscheidungen nur für den Client.
Identitätsanalytiker
Besitzt Authentifizierung, Wiederherstellung, OAuth, Sitzungen, Objektautorisierung, Rollenmatrizen und Mandantengrenzen mithilfe kontrollierter Konten.
Serveranalyst
Besitzt Parser, Injektionsgrenzen, Dateien, serverseitige Abrufe, Webhooks, Caches und Framework-spezifisches Serververhalten.
Kettenanalytiker
Wandelt unterstützte Grundelemente in erforderliche Diagramme um und entfernt Eskalationspfade, deren Kanten nicht sicher nachgewiesen werden können.
Beweisskeptiker
Sucht nach absichtlich öffentlichem Verhalten, Cache-Artefakten, Mitarbeiterzugriff, Zeitfehlern, WAF-Effekten und günstigeren Erklärungen.
Berichtsvalidator
Reproduziert unabhängig den kleinsten Anspruch, überprüft den aktuellen Umfang, überprüft Schwärzungen und schreibt nummerierte, evidenzbasierte Schritte.
Übergabevertrag
Weisen Sie niemals „Schauen Sie tiefer“ zu.
Eine Übergabe enthält eine stabile Lead-ID, die aktuelle Scope-Quelle, eine sachliche Beobachtung, eine falsifizierbare Hypothese, Beweisreferenzen, eine negative Kontrolle, überprüfte Störfaktoren, den nächsten Diskriminator, eine Stoppbedingung, einen Besitzer und einen Status.
lead_id: lead-017
owner: identity-analyst
hypothesis: peer role can invoke owner-only mutation
next_discriminator: replay one controlled object ID
negative_control: nonexistent object plus original owner
stop_condition: controlled accounts and records onlyKoordinatorschleife
Jedes Ergebnis verändert die Warteschlange.
- Deduplizieren Sie die neue Beobachtung.
- Aktualisieren Sie Technologie und Vertrauensgrenzen-Tags.
- Ordnen Sie betroffene Leads neu.
- Schluss mit überflüssiger Arbeit.
- Weisen Sie den günstigsten Entscheidungstest zu.
- Bewahren Sie positive und negative Beweise auf.
Betriebsregeln sorgfältig zusammenführen
Lesen Sie Ihre vorhandenen AGENTS.md first. Merge compatible sections instead of replacing project-specific authorization, build, privacy, or deployment rules. Add narrower files closer to specialized work only when the rules truly differ.