Agent Skill 核验档案

写作助手 · Report Writing

report-writing 是一个面向 H1/Bugcrowd/Intigriti/Immunefi 四大漏洞赏金平台的报告撰写 Skill，提供各平台专属报告模板、人类化语气指南、影响优先写法、CVSS 3.1/4.0 快速评分、标题公式、影响声明公式、严重程度决策指南、降级反驳话术和提交前 60 秒清单。它只负责报告文本本身（模板、语气、公式）；验证关卡和是否可提交的决策由 triage-validation 负责。

适用任务

按 HackerOne/Bugcrowd/Intigriti/Immunefi 平台模板撰写以影响优先的漏洞赏金报告
为漏洞计算并标注 CVSS 3.1（或 4.0）评分及向量字符串
按严重程度决策指南和自评规则确定 P1-P4/Critical-Low 等级
撰写降级反驳话术以应对项目方以'需要认证'、'影响有限'等理由压低评级
使用 60 秒提交前清单检查报告：标题公式、可复现步骤、双账号验证、无理论性措辞等
按标题公式 '[Bug Class] in [Exact Endpoint] allows [attacker] to [impact]' 撰写具体化标题

输入

已验证的漏洞发现（含端点、方法、参数、暴露数据、所需权限）
攻击者与受害者两个测试账号的复现环境信息
确切的 HTTP 请求与响应证据（截图或 JSON 响应体）
平台类型（HackerOne/Bugcrowd/Intigriti/Immunefi）

输出

符合平台模板的完整漏洞赏金报告（摘要、漏洞详情、复现步骤、影响、修复建议、支撑材料）
CVSS 3.1/4.0 评分与向量字符串
基于标题公式的具体化标题
降级反驳与升级语言话术

限制与检查

不负责验证关卡和可提交性/必然被拒的决策（由 triage-validation 负责）
仅面向漏洞赏金报告撰写，外部红队场景不适用
不覆盖 Bugcrowd 特有的 VRT 选择、OOS 条款反驳等内容（由 bugcrowd-reporting 负责）
不做证据脱敏（由 evidence-hygiene 负责）
报告中是否出现 "could potentially"、"could be used to"、"may allow"、"seems to"、"appears to" 等理论性/限定性措辞——有则必须删除
标题是否符合公式 '[Bug Class] in [Exact Endpoint/Feature] allows [attacker role] to [impact] [victim scope]'，第一句话是否用平实语言陈述确切影响
复现步骤是否包含可直接复制粘贴的确切 HTTP 请求和展示漏洞的响应，是否使用了两个测试账号而非单账号自测
是否已计算并附上 CVSS 评分，所声称的严重程度是否与描述的影响一致（不过度声明）

写作助手 · Report Writing

适用任务

输入

输出

限制与检查

AI 搜索

项目详情