Regras operacionais do projeto
Propriedade compartilhada, escopo, evidências e regras de transferência para o repositório.
- Coloque-o em
- raiz do repositório ou um diretório de projeto mais restrito
Trabalho paralelo sem sopa imediata
Agentes
Um modelo de equipe de evidências first para pesquisa de segurança paralela sem sondagens duplicadas, transferências vagas ou cadeias imaginárias.
Esses arquivos não criam nem iniciam agentes. São arquivos de instruções inspecionáveis para um coordenador e seus trabalhadores. Visualize-os, mescle regras úteis ao seu projeto e mantenha intactos os controles mais restritos.
Inspecione antes de usar
Dois arquivos, dois trabalhos.
Runbook de orquestração
Loop de coordenação, esquema de lead, pacote de atribuição e portas de conclusão.
- Coloque-o em
- documentos do projeto ou o diretório de trabalho do coordenador
Escalações iniciais
Combine a equipe com a pergunta.
Mais agentes são úteis apenas quando os limites de propriedade são reais. Comece com a menor lista que possa coletar, desafiar e validar a reivindicação.
Caçador solitário e cético
Funções: Mapeador de superfície + Cético em evidências + Validador de relatórios
Transferência: O mapeador registra uma hipótese. O cético ataca seu confundidor mais barato. O validador será executado novamente somente se sobreviver.
Pare: Pare quando o lead for rejeitado, apoiado com segurança ou precisar de autoridade que você não possui.
Preset: Solo hunter plus skeptic Use: Small surface or one promising lead. Roles: Surface mapper, Evidence skeptic, Report validator Handoff: Mapper records one hypothesis. Skeptic attacks its cheapest confounder. Validator reruns only if it survives. Stop: Stop when the lead is rejected, safely supported, or needs authority you do not have.
JavaScript para API
Funções: Analista de cliente + Mapeador de superfície + Analista de identidade + Cético em evidências
Transferência: O analista do cliente fornece IDs de operação, origem, coletor e mensagem. O analista de identidade testa um limite controlado.
Pare: Interrompa a análise do cliente quando cada lead de alta classificação tiver um discriminador e um proprietário.
Preset: JavaScript to API Use: A modern web app with large bundles and undocumented operations. Roles: Client analyst, Surface mapper, Identity analyst, Evidence skeptic Handoff: Client analyst supplies operation, source, sink, and message IDs. Identity analyst tests one controlled boundary. Stop: Stop client analysis when every high-ranked lead has a discriminator and owner.
Limite de identidade
Funções: Analista de identidade + Analista de servidor + Cético de evidências + Validador de relatórios
Transferência: O analista de identidade fornece a matriz função-objeto-ação e a linha de base emparelhada. O analista do servidor verifica caminhos alternativos de aplicação.
Pare: Pare em identidades, registros ou fornecedores não controlados.
Preset: Identity boundary Use: OAuth, recovery, tenant, role, or object authorization work. Roles: Identity analyst, Server analyst, Evidence skeptic, Report validator Handoff: Identity analyst supplies the role-object-action matrix and paired baseline. Server analyst checks alternate enforcement paths. Stop: Stop at uncontrolled identities, records, or providers.
Busca de servidor e nuvem
Funções: Analista de servidores + Mapeador de superfície + Cético de evidências + Analista de cadeia
Transferência: O analista de servidor fornece correlação de retorno de chamada exclusiva e controles negativos. O Mapper confirma a propriedade antes de qualquer próximo salto.
Pare: Pare antes de dados internos, credenciais ou um destino não aprovado.
Preset: Server fetch and cloud Use: URL consumers, webhooks, importers, renderers, and callback-capable services. Roles: Server analyst, Surface mapper, Evidence skeptic, Chain analyst Handoff: Server analyst supplies unique callback correlation and negative controls. Mapper confirms ownership before any next hop. Stop: Stop before internal data, credentials, or an unapproved destination.
Validação de relatório
Funções: Cético de evidências + Validador de relatórios + Analista de cadeia
Transferência: Skeptic lista fatores de confusão verificados. O validador recebe etapas mínimas e evidências brutas. O analista da cadeia rotula arestas não testadas.
Pare: Pare quando o escopo atual, a reprodutibilidade ou o impacto controlado não puderem ser estabelecidos.
Preset: Report validation Use: A candidate issue needs independent reproduction and severity calibration. Roles: Evidence skeptic, Report validator, Chain analyst Handoff: Skeptic lists confounders checked. Validator receives minimal steps and raw evidence. Chain analyst labels untested edges. Stop: Stop when current scope, reproducibility, or controlled impact cannot be established.
Mapa de superfície completo
Funções: Mapeador de superfície + Analista de cliente + Analista de identidade + Analista de servidor + Cético de evidências + Analista de cadeia + Validador de relatório
Transferência: Todas as funções gravam em um razão de leads desduplicado. O coordenador atribui um proprietário e um próximo discriminador por lead.
Pare: Pare a coleta duplicada, o trabalho com escopo obsoleto e qualquer via sem uma pergunta limitada.
Preset: Full surface map Use: A broad authorized target with distinct client, identity, and server lanes. Roles: Surface mapper, Client analyst, Identity analyst, Server analyst, Evidence skeptic, Chain analyst, Report validator Handoff: All roles write to one deduplicated lead ledger. The coordinator assigns one owner and one next discriminator per lead. Stop: Stop duplicate collection, stale-scope work, and any lane without a bounded question.
Mapeador de superfície
Possui ativos ativos, evidências tecnológicas, endpoints, parâmetros, identidades e procedência. Produz mapas, não descobertas inflacionadas.
Analista de cliente
Possui JavaScript, mapas de origem, coletores de navegador, protocolos postMessage, operações ocultas e decisões de confiança somente do cliente.
Analista de identidade
Possui autenticação, recuperação, OAuth, sessões, autorização de objetos, matrizes de funções e limites de locatários usando contas controladas.
Analista de servidores
Possui analisadores, limites de injeção, arquivos, buscas do lado do servidor, webhooks, caches e comportamento de servidor específico da estrutura.
Analista de cadeia
Transforma primitivas suportadas em gráficos de pré-requisitos e remove caminhos de escalonamento cujas arestas não podem ser evidenciadas com segurança.
Cético em relação às evidências
Pesquisa comportamento do público pretendido, artefatos de cache, acesso de colaboradores, erros de tempo, efeitos WAF e explicações mais baratas.
Validador de relatório
Reproduz de forma independente a menor afirmação, verifica o escopo atual, verifica as redações e escreve etapas numeradas baseadas em evidências.
Contrato de transferência
Nunca atribua “olhar mais profundamente”.
Uma transferência carrega um ID de lead estável, fonte de escopo atual, observação factual, uma hipótese falsificável, referências de evidências, controle negativo, fatores de confusão verificados, próximo discriminador, condição de parada, proprietário e status.
lead_id: lead-017
owner: identity-analyst
hypothesis: peer role can invoke owner-only mutation
next_discriminator: replay one controlled object ID
negative_control: nonexistent object plus original owner
stop_condition: controlled accounts and records onlyCiclo do coordenador
Cada resultado altera a fila.
- Desduplicar a nova observação.
- Atualize a tecnologia e as tags de limite de confiança.
- Reclassifique os leads afetados.
- Pare de trabalho redundante.
- Atribua o teste decisivo mais barato.
- Preservar evidências positivas e negativas.
Combine as regras operacionais com cuidado
Leia o seu existente AGENTS.md first. Merge compatible sections instead of replacing project-specific authorization, build, privacy, or deployment rules. Add narrower files closer to specialized work only when the rules truly differ.