attack-path-analysis

安全攻击路径分析

判断每项提供的发现是否存在有依据支持的攻击者路径、会造成什么影响，以及是否应报告。在创建或保留文件之前，请先阅读 ../../references/artifact-storage.md。

建立攻击路径

对于扫描阶段，使用该扫描对应的威胁模型和候选项集合，详见 ../../references/scan-artifacts.md。保留提供的输入路径。如果所需的扫描制品不可用，请报告缺失的输入。

对于独立分析，使用提供的发现、代码库、威胁模型或安全策略以及上下文。无需提供单次扫描制品。说明重要假设；仅在缺少上下文会导致无法进行有意义的评估时，才询问缺少的上下文。

1. 确定范围内的攻击者、受影响的产品表面、入口点、受控输入、安全边界和敏感操作。根据代码库证据追踪攻击路径。
2. 找出相关控制措施和最有力的反证。解释它们能证明什么、还需要满足哪些前提，以及是否跨越了所声称的确切边界。
3. 根据这些事实评估影响和可能性，然后应用 references/severity-policy.md。在结果中明确区分事实、严重性校准和最终策略决定。
4. 对每个符合条件的候选项（包括已忽略或已延期的候选项）给出明确决定。不要用相邻发现替代有依据支持的实例，也不要遗漏其根控制位置。

使用代码库证据和明确提供的上下文。只有用户明确授权时才能访问网络；离线扫描绝不访问网络。不要臆造缺乏依据的攻击链。缺少部署或公网入口证据可能会降低置信度，但不应因此否定其他方面有依据支持的发现。

扫描集成

标准扫描和 Deep Scan 工作器会在其常规标准扫描工作流中评估攻击路径；两者都不会调用此独立阶段技能。

Compact Workbench Diff

当基于 workbench 的 $security-diff-scan 具有 scanId 时：

• 使用 list_codex_security_candidates({ scanId, cursor?, limit? }) 加载该扫描的威胁模型和所有已验证的候选项。
• 分析每个 reportable 或 deferred 的验证候选项。保留候选项标识以及现有的发现和验证字段。
• 将所有决定一并提交，调用 record_candidate_attack_paths({ scanId, attackPaths: [{ candidateId, attackPath }] })。如果没有候选项进入此阶段，则提交 attackPaths: []。此工具会保留已存储的候选项顺序。
• 这些嵌套决定构成完整的阶段输出。不要创建重复报告、回执或手动台账。

其他基于阶段的扫描

使用 ../../references/scan-artifacts.md 中当前工作流的报告和回执路径。每个进入此阶段的候选项都必须有明确决定和回执，其中包含其 ID、事实或确切的证据缺口，以及报告引用。在将已忽略的候选项排除出保留的发现集合之前，先记录它们。

对于代码库范围或限定路径的扫描，即使发现阶段未分配完善的发现编号，也要包含标记为 reportable 或 survives: yes 的验证闭环行。保留验证提供的受影响入口点／包装器、根控制、接收点和具体实现位置。

输出

对于独立分析，请遵循调用方的格式，或针对每项发现提供简明评估。扫描阶段请遵循其上述输出约定。包括：

• 标题，以及提供的候选项、实例和账本标识；
• 受影响位置，以及从攻击者到影响的具体步骤；
• references/attack-path-facts.md 中的相关事实；
• 控制措施、反证、前置条件和重要证据缺口；
• 影响、可能性、校准后的严重性，以及最终策略决定和相应理由。

保留足够的证据，以说明哪些发现得以保留、哪些被抑制。根据已确认的事实应用严重性策略，而不是重新开展发现工作或改用另一种攻击路径。