Điều tra threat intelligence công khai với ak:cti-expert

Dùng ak:cti-expert để điều tra target cyber-threat hoặc open-source intelligence được phép qua các bước thu thập, làm giàu, đánh giá và báo cáo. Skill có thể nối identifier công khai thành case graph, nhưng mỗi connection vẫn cần source, confidence và legal review trước khi bạn hành động.

Chọn ak:cti-expert cho investigation có giới hạn

Dùng ak:cti-expert khi

• Bạn review public exposure của chính mình hoặc tổ chức mình.
• Bạn cần xem domain, IP, email, username, số điện thoại, image hoặc threat indicator bằng nguồn công khai.
• Bạn cần timeline, relationship map, threat model hoặc intelligence report có citation và vẫn hiển thị uncertainty.

Chọn workflow khác khi

• Bạn cần audit security source code. Dùng ak:security.
• Bạn chỉ cần scan nhanh secret hoặc dependency trong repository. Dùng ak:security-scan.
• Yêu cầu liên quan truy cập trái phép, stalking, harassment, doxing, deception hoặc destructive testing. Không chạy Skill này.
• Bạn cần kết luận pháp lý hoặc attribution danh tính đã xác minh. Skill tạo investigative lead, không tạo legal conclusion.

Chuẩn bị target và runtime

Trước khi bắt đầu, xác nhận authority, purpose, target boundary, source được phép, retention rule và việc cài tool hoặc network collection có được phép hay không. Dùng identifier thử nghiệm hoặc do tổ chức sở hữu trong ví dụ.

Chạy Skill

Ví dụ này yêu cầu full case trên domain bạn kiểm soát và nêu rõ evidence cùng authority boundary.

/ak:cti-expert "Run a case on own-domain.example. Use public passive sources only, label inference, redact personal data, install nothing, and stop before contacting any account or system."

/ak:cti-expert "Run a case on own-domain.example. Use public passive sources only, label inference, redact personal data, install nothing, and stop before contacting any account or system."

$ak:cti-expert "Run a case on own-domain.example. Use public passive sources only, label inference, redact personal data, install nothing, and stop before contacting any account or system."

Workflow đóng gói cũng nhận các operation như /case, /sweep, /query, /progress, /validate, /coverage, /brief và /report. Hãy coi chúng là instruction bên trong lần chạy ak:cti-expert, không phải tên AgentKit Skill.

Hiểu các giai đoạn có thể quan sát

1. Acquire: thu thập public record và observation cho target đã giới hạn, đồng thời ghi collection method cùng source.
2. Enrich: đăng ký subject mới tìm thấy, cross-reference identifier và thêm connection hoặc timeline event mà không gộp các identity khác nhau.
3. Assess: chấm trust và confidence, giữ contested finding, kiểm tra coverage và xác định blind spot.
4. Deliver: render brief hoặc report có citation, relationship view, timeline, risk view hoặc saved workspace.

Graph output mặc định là ASCII. Mermaid chỉ khả dụng khi được yêu cầu rõ bằng --mermaid bên trong workflow.

Giới hạn approval, privacy và inference

• Source workflow có thể cố cài CLI tool còn thiếu và dùng browser, search, fetch hoặc direct network fallback. Nêu install nothing hoặc dùng isolated environment nếu các thay đổi đó chưa được phép.
• --yolo bỏ prompt; nó không cấp quyền scope expansion, provider account, paid service, credential use, active probing hoặc publication.
• Giữ PRIMARY observation tách khỏi DERIVED conclusion. Correlation không phải bằng chứng identity và không thấy trong một source không chứng minh là không tồn tại.
• Giữ evidence mâu thuẫn ở trạng thái contested. Không chọn claim tiện lợi hơn nếu thiếu documented basis.
• Report và saved workspace có thể chứa case data nhạy cảm. Review access, retention, encryption và redaction trước khi lưu hoặc chia sẻ.

Xác minh output và evidence

Một lần chạy có thể review nên báo target cùng scope, source đã tra, collection gap, subject và connection, finding type, trust score, confidence, timestamp, contradiction và intelligence gap chưa xử lý. /validate cùng /coverage là workflow check, không phải guarantee độc lập rằng claim đúng hoặc collection đầy đủ.

/case, /report và /brief được đặc tả để lưu Markdown cùng DOCX report ở current directory hoặc ./osint-reports/ nếu directory đó tồn tại. JSON, CSV, IOC hoặc connector export hướng máy là output riêng. Xác nhận từng file được báo và mở file trước khi coi delivery hoàn tất; DOCX generation phụ thuộc Python và document-conversion tool khả dụng.

Xử lý sự cố an toàn

Biết các giới hạn hiện tại

• Source availability, rate limit, anti-bot control, network access và tool version có thể làm coverage không đầy đủ hoặc lỗi thời.
• Search result, breach mention, username match, image similarity và graph proximity không tự chứng minh identity, ownership, intent hay threat.
• Packaged Skill mô tả nhiều provider và tool path, nhưng release evidence không chứng minh mọi integration chạy end to end trên mọi runtime.
• Stable và beta chứa source cùng resource ak:cti-expert giống nhau.

Tiếp tục với ak:security để threat review source code hoặc ak:plan để lên lịch remediation đã duyệt.