Règles de fonctionnement du projet
Propriété partagée, portée, preuves et règles de transfert pour le référentiel.
- Placez-le dans
- racine du référentiel ou un répertoire de projet plus restreint
Travail parallèle sans soupe rapide
Agents
Un modèle d'équipe de preuves-first pour la recherche parallèle sur la sécurité sans enquêtes dupliquées, transferts vagues ou chaînes imaginaires.
Ces fichiers ne créent ni ne lancent d'agents. Il s'agit de dossiers d'instructions inspectables pour un coordinateur et ses travailleurs. Prévisualisez-les, fusionnez les règles utiles avec votre projet et conservez intacts les contrôles plus étroits.
Inspecter avant d'utiliser
Deux fichiers, deux tâches.
Runbook d'orchestration
Boucle de coordinateur, schéma principal, paquet d'affectation et portes d'achèvement.
- Placez-le dans
- la documentation du projet ou le répertoire de travail du coordinateur
Listes de départ
Associez l’équipe à la question.
Un plus grand nombre d’agents n’est utile que lorsque les limites de propriété sont réelles. Commencez par la plus petite liste capable de collecter, de contester et de valider la réclamation.
Chasseur solo et sceptique
Rôles : Mappeur de surface + Sceptique des preuves + Validateur de rapport
Transfert : Mapper enregistre une hypothèse. Sceptique attaque son confondeur le moins cher. Le validateur ne s'exécute à nouveau que s'il survit.
Arrêtez : Arrêtez-vous lorsque le prospect est rejeté, soutenu en toute sécurité ou nécessite une autorité que vous n'avez pas.
Preset: Solo hunter plus skeptic Use: Small surface or one promising lead. Roles: Surface mapper, Evidence skeptic, Report validator Handoff: Mapper records one hypothesis. Skeptic attacks its cheapest confounder. Validator reruns only if it survives. Stop: Stop when the lead is rejected, safely supported, or needs authority you do not have.
JavaScript vers API
Rôles : Analyste client + Mappeur de surface + Analyste d'identité + Sceptique en matière de preuves
Transfert : L'analyste client fournit des ID d'opération, de source, de récepteur et de message. L'analyste d'identité teste une limite contrôlée.
Arrêtez : Arrêtez l'analyse des clients lorsque chaque prospect de haut rang a un discriminateur et un propriétaire.
Preset: JavaScript to API Use: A modern web app with large bundles and undocumented operations. Roles: Client analyst, Surface mapper, Identity analyst, Evidence skeptic Handoff: Client analyst supplies operation, source, sink, and message IDs. Identity analyst tests one controlled boundary. Stop: Stop client analysis when every high-ranked lead has a discriminator and owner.
Limite d'identité
Rôles : Analyste d'identité + Analyste de serveur + Sceptique en matière de preuves + Validateur de rapport
Transfert : L'analyste d'identité fournit la matrice rôle-objet-action et la ligne de base appariée. L'analyste de serveur vérifie les autres chemins d'application.
Arrêtez : Arrêtez-vous aux identités, enregistrements ou fournisseurs non contrôlés.
Preset: Identity boundary Use: OAuth, recovery, tenant, role, or object authorization work. Roles: Identity analyst, Server analyst, Evidence skeptic, Report validator Handoff: Identity analyst supplies the role-object-action matrix and paired baseline. Server analyst checks alternate enforcement paths. Stop: Stop at uncontrolled identities, records, or providers.
Récupération du serveur et cloud
Rôles : Analyste de serveur + Mappeur de surface + Sceptique des preuves + Analyste de chaîne
Transfert : L'analyste de serveur fournit une corrélation de rappel unique et des contrôles négatifs. Mapper confirme la propriété avant tout prochain saut.
Arrêtez : Arrêtez-vous avant les données internes, les informations d'identification ou une destination non approuvée.
Preset: Server fetch and cloud Use: URL consumers, webhooks, importers, renderers, and callback-capable services. Roles: Server analyst, Surface mapper, Evidence skeptic, Chain analyst Handoff: Server analyst supplies unique callback correlation and negative controls. Mapper confirms ownership before any next hop. Stop: Stop before internal data, credentials, or an unapproved destination.
Validation du rapport
Rôles : Sceptique en matière de preuves + Validateur de rapport + Analyste de chaîne
Transfert : Les listes sceptiques ont été vérifiées. Le validateur reçoit des étapes minimales et des preuves brutes. L’analyste de la chaîne étiquette les bords non testés.
Arrêtez : Arrêtez-vous lorsque la portée actuelle, la reproductibilité ou l’impact contrôlé ne peuvent pas être établis.
Preset: Report validation Use: A candidate issue needs independent reproduction and severity calibration. Roles: Evidence skeptic, Report validator, Chain analyst Handoff: Skeptic lists confounders checked. Validator receives minimal steps and raw evidence. Chain analyst labels untested edges. Stop: Stop when current scope, reproducibility, or controlled impact cannot be established.
Carte pleine surface
Rôles : Mappeur de surface + Analyste client + Analyste d'identité + Analyste de serveur + Sceptique des preuves + Analyste de chaîne + Validateur de rapport
Transfert : Tous les rôles écrivent dans un grand livre principal dédupliqué. Le coordinateur attribue un propriétaire et un discriminateur suivant par prospect.
Arrêtez : Arrêtez la collecte des doublons, les travaux obsolètes et toute voie sans question limitée.
Preset: Full surface map Use: A broad authorized target with distinct client, identity, and server lanes. Roles: Surface mapper, Client analyst, Identity analyst, Server analyst, Evidence skeptic, Chain analyst, Report validator Handoff: All roles write to one deduplicated lead ledger. The coordinator assigns one owner and one next discriminator per lead. Stop: Stop duplicate collection, stale-scope work, and any lane without a bounded question.
Mappeur de surfaces
Possède des actifs actifs, des preuves technologiques, des points de terminaison, des paramètres, des identités et leur provenance. Produit des cartes, pas des résultats gonflés.
Analyste clients
Possède JavaScript, les cartes sources, les récepteurs de navigateur, les protocoles postMessage, les opérations cachées et les décisions de confiance réservées au client.
Analyste d'identité
Possède l'authentification, la récupération, OAuth, les sessions, l'autorisation d'objet, les matrices de rôles et les limites des locataires à l'aide de comptes contrôlés.
Analyste serveur
Possède les analyseurs, les limites d'injection, les fichiers, les récupérations côté serveur, les webhooks, les caches et le comportement du serveur spécifique au framework.
Analyste de chaîne
Transforme les primitives prises en charge en graphiques prérequis et supprime les chemins d'escalade dont les bords ne peuvent pas être mis en évidence en toute sécurité.
Sceptique en matière de preuves
Recherche le comportement du public visé, les artefacts de cache, l'accès des collaborateurs, les erreurs de timing, les effets WAF et des explications moins coûteuses.
Validateur de rapport
Reproduit de manière indépendante la plus petite réclamation, vérifie la portée actuelle, vérifie les expurgations et écrit les étapes numérotées et étayées par des preuves.
Contrat de transfert
N’attribuez jamais « regarder plus profondément ».
Un transfert comporte un identifiant de piste stable, une source de portée actuelle, une observation factuelle, une hypothèse falsifiable, des références de preuves, un contrôle négatif, des facteurs confondants vérifiés, le prochain discriminateur, une condition d'arrêt, un propriétaire et un statut.
lead_id: lead-017
owner: identity-analyst
hypothesis: peer role can invoke owner-only mutation
next_discriminator: replay one controlled object ID
negative_control: nonexistent object plus original owner
stop_condition: controlled accounts and records onlyBoucle de coordinateur
Chaque résultat change la file d'attente.
- Dédupliquez la nouvelle observation.
- Mettez à jour la technologie et les balises de limite de confiance.
- Reclassez les leads concernés.
- Arrêtez le travail redondant.
- Attribuez le test décisif le moins cher.
- Préservez les preuves positives et négatives.
Fusionner soigneusement les règles de fonctionnement
Lisez votre existant AGENTS.md first. Merge compatible sections instead of replacing project-specific authorization, build, privacy, or deployment rules. Add narrower files closer to specialized work only when the rules truly differ.