claude-red：把 Claude 从聊天机器人变成红队操作员

仓库已累计 8,595 Star、1,106 Fork，79 份技能文件横跨 23 个攻击面类别。

一、它解决的是什么问题

想象一个场景：你让 AI 帮你测一个登录接口是否存在 SQL 注入。通用大模型会给你一堆教科书式的答案——加个引号试试、看报错、试 UNION SELECT。这些没错，但它不知道 MSSQL 环境下 WAITFOR DELAY 才是盲注验证的正解，也不懂 WAF 前面挂个 CDN 时哪些特征会被改写，更不会告诉你看到 200 但响应体为空其实是"软失败"该转 OOB。

claude-red 的作者 SnailSploit（Kai Aizen）做的一件事，就是把这些"老兵才知道的坑"沉淀成文件。当你说"帮我看下这个接口有没有注入"，Claude 会自动加载 offensive-sqli 技能——那里面有 370 行的方法论，从探针构造、布尔盲注时间基准，到 MySQL/MSSQL/PostgreSQL/Oracle 的方言差异，再到 ORM CVE 追踪和 SQLmap 自动化。

这不是又一个"提示词合集"。区别在于：合集是告诉模型"你会注入吗"，claude-red 是告诉模型"注入这件事，有 37 种变体，每种的验证信号是什么，失败了往哪退"。

二、出身与背景

项目 2026 年 3 月 4 日建仓，起初只有 37 个技能平铺在根目录；8 月 30 日发布 v0.3.0，重组成 23 个类别、78 份技能，并补齐了完整的无线攻击面套件。最近一次推送在 10 月 12 日，仍在活跃迭代。

作者自述其原始素材来自 Sahar Shlichov 的 offensive-checklist 收藏——那是一套长期积累的渗透测试清单。claude-red 的贡献在于把静态清单重构成"可被 Agent 按需加载的技能单元"，并为其补上快速验证流程（Quick Workflow）、成功指标判断、以及失败后的回退路径。

有意思的是，作者同时在运营 snailsploit.com，那里还挂着 AATMF v3.1（对抗式 AI 威胁建模框架，映射 NIST AI RMF 与 MITRE ATLAS）和 LLM 红队工具箱。claude-red 是这套 AI 安全研究体系里偏"实战手艺"的那一块。

三、类比：把作战手册交给新兵

传统做法是招一个有十年经验的红队成员，带他三个月。claude-red 的思路不同：把老兵脑子里的作战手册拆成一册册专题，装进一个知识库，让 AI 随时能翻。

关键区别在于粒度和触发机制。每一个技能文件对应一个具体攻击面，不是"网络安全"这种大而泛的主题。SKILL.md 的 YAML frontmatter 里的 description 字段描述了何时该唤醒这个技能——提到 SQL 注入就唤醒 offensive-sqli，提到 EDR 就唤醒 offensive-edr-evasion。没被触发的技能完全不占上下文，这是"技能"相对于"把所有文档塞进 system prompt"的核心优势。

项目官网的说法挺有意思：技能不是脚本，每份通常 80-200 行，因为技能是给 Agent 的操作指令，让它在面对具体目标时现场写脚本。预先把利用代码烤死进去，恰恰是市面上大多数"AI 安全技能库"在目标偏离演示环境那一刻就变脆的原因。

四、核心功能与技术细节

目录结构。 79 个 SKILL.md 分布在 24 个类别目录下：web（16）、wireless（14）、infrastructure（7）、exploit-dev（6）、fuzzing（4）等，最大文件 offensive-windows-boundaries/SKILL.md 达 567KB，offensive-crash-analysis 409KB——这些超长文件把 Windows 内核边界、沙箱逃逸、缓解机制绕过等细分领域写得非常深。

工具链。 仓库本身代码量不大（Python 11KB + Shell 2.7KB），但每个脚本都有明确职责：

• install.sh — 交互式安装器，支持 --target、--category、--list、--dry-run，优先用 rsync 并回退到 cp -r，最后统计实际安装的技能数
• tools/build_manifest.py — 扫描 Skills/ 目录，解析每个 SKILL.md 的 YAML frontmatter，生成 claude-skills.json 机器可读清单（79 技能 / 24 类别）
• convert_skills.py — 把旧版 Markdown 格式技能转换为标准 SKILL.md 格式并打包 ZIP，供 Claude Console 上传（作者注明来自社区贡献）

CI/CD。 4 条 GitHub Actions 工作流：CodeQL 扫描、Python 包发布、技能预览、PR 上的自动化技能评审——最后一条意味着技能文件被当成代码来审。

领域覆盖亮点。 无线类别从 802.11 侦察、WPA2/3 破解、WPA-Enterprise、EAP 证书滥用，一路到 Evil Twin、BLE KNOB、Zigbee/Thread、Matter、Z-Wave S2 派生、LoRaWAN 与 sub-GHz 频段攻击，甚至包括 TPMS 里的固定码重放。API 类别覆盖 OWASP API Top 10 与 gRPC/WebSocket。容器类别讲 runc CVE 与 cgroup 逃逸。K8s 技能覆盖 RBAC 滥用、etcd 访问、kubelet API 与 CRD 利用。

AI 安全自反能力。 offensive-ai-security 技能本身讲提示注入、越狱、RAG 数据投毒与模型提取——一个用 AI 教授 AI 攻击面，同时自我防御的项目。

五、上手门槛

极低，但有几个前提要说清楚。

最小安装只需一条命令：

git clone https://github.com/SnailSploit/Claude-Red ~/.claude/skills/claude-red

按类别稀疏拉取可以只取需要的部分：

git clone --filter=blob:none --sparse https://github.com/SnailSploit/claude-red
cd claude-red && git sparse-checkout set Skills/web Skills/active-directory

Claude Code 可以直接把技能文件当系统提示注入：cat Skills/web/offensive-sqli/SKILL.md | claude --system-file -。Claude.ai 只能手动粘贴到 Project 的系统提示里——这是最土但也最通用的方式。

第三方平台上，skills.sh 收录了该项目，可用 npx skills add snailsploit/claude-red 安装。

没有任何服务器、GPU 或数据库依赖。硬件门槛基本为零，只占几 MB 磁盘。

六、争议与局限

双用途风险是第一位的。 这是一份把攻击链方法论整理得相当完整的文档集——EDR 绕过、shellcode 编写、凭据窃取、持久化。MIT 协议让它可以被任何人自由取用，包括用在未授权场景。仓库定位是授权红队、赏金初筛和安全研究，但许可证不区分意图。作者官网同时挂着 AATMF 这类防御框架，说明其在推动 AI 安全防御侧同时提供攻击侧能力——这个平衡是否可持续，取决于社区生态。

质量问题参差。 技能文件长度差异巨大：从 4.5KB 的 offensive-deauth-disassoc 到 567KB 的 offensive-windows-boundaries，后者的体量已超出"Agent 按需加载"的经济性——一次注入几十万 token 的技能文件，与"按需加载不占上下文"的设计初衷存在张力。

内容与元数据不完全同步。 官网介绍页仍写"38 skills、9 categories"，而仓库已达 78/79 技能、23 类别；README 徽章显示 78，树中实际统计到 79 个 SKILL.md（多出的一个是 offensive-netexec，未出现在 README 索引表中）。CHANGELOG 日期标注为 2025-08，而仓库创建时间为 2026-03，存在时间线不一致。这类文档漂移在快速迭代项目中常见，但对使用者判断版本内容有影响。

维护集中度。 贡献者数量极少（Link header 显示约 9 位），核心方法论基本来自作者一人，审查主要依赖 CodeQL 与自动化评审规则，而非人工安全审计。技能内容的准确性和时效性，需要使用者自行验证。

七、行业意义

claude-red 抓住了 Skills 机制的一个关键特征：上下文是稀缺资源，触发是免费的。把专业知识拆成可按需唤醒的技能单元，比塞一份巨型 system prompt 或做 RAG 检索更贴近"专家随叫随到"的直觉。这个模式一旦成立，垂直领域的知识打包就有了通用范式——从红队到渗透测试到安全审计。

它的 8,595 Star / 1,106 Fork 比例（约 1:0.13）也说明了一件事：这类项目被大量复制进自己的环境，而不是仅仅围观。skills.sh 上的安装量、单技能的下载排名都印证了这点。越来越多的 Agent 框架（不只是 Claude）开始兼容 SKILL.md 格式，这种"知识资产"的分发路径正在形成独立于 pip/npm 的新渠道。

在 AI 安全这个赛道上，claude-red 属于一个特殊的位置：它不是检测工具，不是扫描器，不是防护产品——它是一套让 AI 获得攻防手艺的方法论。随着 Agent 被授权访问真实系统，这类知识库的分发速度与安全治理之间的赛跑，才刚刚开始。

---

本文分析基于仓库 main 分支（2026-10-12 最后推送）与 GitHub API 实时数据采集，star/forks 截至 2026-10-24。