132 天 36,908 星，平均每天约 280 个 star——reverse-skill 是近期安全向 Agent 技能里涨得最快的一个。它的判断很简单：AI 不是不会用工具，是不知道该用哪个工具，于是把 44 条路由规则摆在最前面，让 jadx、IDA、Frida、Burp 先各归各位，再进入 45 个场景模块里的那一个。仓库自带 178 条路由回归用例，我在 Linux 上全量跑完，178 条全绿；随后自己出 56 条对抗用例，它错了 7 条，其中 3 类是真问题——最典型的一个 bug，会让「sandbox escape」这种标准提法被路由去分析恶意软件。
一个「先选剧本再动手」的技能路由包
拆开仓库，它由三层组成：单一事实源 skills/config/routing.json（15,089 字节，44 条规则按优先级排列，每条规则由 must 命中、mustAll 全中、exclude 一票否决三段组成）、45 个场景模块的 SKILL.md，以及一套 bootstrap 脚本负责探测本机工具链。路由产出 PRIMARY/SECONDARY 两档 skill 路径和置信度（high/medium/low），还附带 case-init 流程：授权范围与网络档没就绪之前，不许对真实目标动手。
| 项 | 我实测的数字 |
|---|---|
| 路由规则 | 44 条（R0–R45，R0 为兜底），优先级链单独列出 |
| 场景模块 | 45 个 + 根路由 SKILL.md，INDEX.md 由脚本自动生成 |
| CTF 子技能 | 41 个 competition-* 目录、42 个 SKILL.md |
| SKILL.md 合计 | 46 个、324,983 字节，按 1.8 字节/token 约 18 万 token |
| 首屏负担 | 主路由只读 routing.json + MASTER-ROUTING.md（7,435 字节），模块按需展开 |
| 提交与人力 | 181 次提交、15 位贡献者（前三名 42、36、36 次） |
上手路径也是三条：给 Claude Code 装 reverse-skill 插件、复制仓库根的 AGENTS.md 到项目 AGENTS/、或 git clone 后用 master-route.sh 单独跑路由——仓库为 Claude、Codex、OpenCode、Cursor、Copilot、Gemini 各准备了各自的桥接文件（CLAUDE.md、AGENTS.md、opencode.json、GEMINI.md 等），最小加载路径甚至可以为零。我在干净的 Alpine 沙盒里跑了 bootstrap：--list 列出 23 项发现能力、7 个工具组、4 条纪律（只发现不激活、MCP 默认不注册、每个安装给一行理由、端口只读探活），并直接点名缺 java、jadx、frida、radare2；它的工具索引刷新后给出 34 项清单，只有 5 项在沙盒里可用（python3、node、npm、npx、burp-mcp-full），每个缺失项都带 install_hint。路由的判定逻辑可以一句话概括：must 命中、mustAll 全中、exclude 一票否决，同分时按优先级链仲裁——官方基准里就有「ghidra + .so」这种用例：两条规则都命中，预设路由是 ghidra 而不是 IDA，靠的正是优先级而非关键词数量。
我抽开了被路由频次最高的 apk-reverse 模块：11,727 字节、14 个 H2，开头是五步 ACTION REQUIRED——NOW 读 precedent-reverse.md 确认这是已授权的常规操作、NOW 核对适用范围、NEXT 查 tool-index.md 校验工具真实路径、缺工具就调 bootstrap 而不是猜路径、ACT 进工作流第一步别停在确认状态；结尾则是「任务完成自检（声称完成前 MUST 通过）」，中间夹着工具分工、自带脚本、禁止事项、输出要求、路由上下文和按需自举六段。相邻的 mobile-reverse 是 6,234 字节，结构同款。首尾各一道强制协议，比在提示词里写一句「要注意安全」硬得多——agent 想跳过，得先跳过自己刚读过的清单。
授权边界在这套体系里不是口头约定。master-route.sh 的下一步是 case-init：先写 scope 文件，声明 authorization_ready（靶标、测试账号、时间窗）、network_profile（read_only / controlled_active / active 三档）和 response_format（no_write / read_only / active），三者没对齐之前，R45 的强制 scope 检查不让任何 ACT 动作落地。配套的 RULES.md（中英两版）还写了更细的硬约束，比如单个红队阶段不超过 5 分钟、不超过 15 个动作，收尾必须提交 Evidence → Finding → Path 三件套到时间线，报告格式由 REPORTING.md 模板锁死。换句话说，它把「你有没有资格动手」变成了一个可被 agent 循环反复校验的状态，而不是一句提示词里的情绪表达。
这个体量设计值得单独说一句。我们评测过的 a-stock-data 把 7,288 行塞进单个 SKILL.md，一次加载 11 万 token；reverse-skill 的 46 个 SKILL.md 全量也有 18 万 token，但它是路由型结构，首轮只读十 KB 级的路由配置，命中哪个模块才开哪个——同一堆文档，上下文成本差一个量级。对比同赛道的大星仓库：ECC 25.5 万星管的是工程纪律，marketingskills 47k 星管的是营销流程，reverse-skill 管的是危险动作的顺序与授权边界——这是三者里唯一把「不许对没授权的目标动手」写进流程的。
实测一：它自己出的 178 道题全绿，状态表却写错了
克隆仓库后我把六套测试全部跑了一遍：
| 测试 | 结果 |
|---|---|
| test-routing（路由回归） | 178/178 全绿；其中 quick 冒烟 44 条、中文用例 103 条、英文 75 条，44 条路由全部有覆盖 |
| test-bash-workflow | 5/5，1.9 秒；含网络档校验、未授权拒绝两条安全断言 |
| verify-repository-security | 599 个文件全部被跟踪、74 个可执行源、无符号链接，OK |
| verify-doc-links | 全部内部 Markdown 链接可达 |
| bootstrap 两套回归（manifest + client-neutral） | 全过 |
| refresh-tool-index | 34 项工具只探测到 5 项可用（python3/node/npm/npx/burp-mcp-full），java、jadx、frida、r2 全缺，每项附 install_hint |
基准本身的质量高得超出预期：每条路由至少 2 条用例、44 条全覆盖、中英双语，还是跨平台 CI（Windows + Ubuntu）跑的。但README 的 Current status 表把回归基准写成 175 cases，实际文件里是 178 条（基准 meta 停在 2026-08-02）——文档和数据第一次对不上，就发生在最该对得上的那个数字上。治理面同样偏紧：15 位贡献者、18 个 open issue、7 个 closed，唯一的 PR 还挂着，0 个被合并，主线实际上仍是作者一人在推（最新提交 9 月 22 日）。文档滞后一两天不致命，但滞后偏偏发生在 README 首屏的状态表里——后来者第一眼看到的就是一个错数。
实测二：我出的 56 条对抗用例，49 过 7 错
官方基准的用例几乎都含规则里的字面关键词，等于命题人和考生共用一张表。我另出 56 条：口语化重述、中英混合、多个技能域竞争，全部走真实入口 master-route.sh。结果 49 过 7 错（中文 45/51、英文 4/5），单次路由延迟 min 304ms / p50 358ms / p90 683ms。7 条失败分三类：
| 类型 | 用例 → 实际路由 | 判定 |
|---|---|---|
| 子串误命中 | docker sandbox escape → malware-analysis | 真 bug |
| 关键词不对称 | redis 未授权访问安全评估 → R11 通用渗透 | 真洞 |
| 优先级平局 | iOS APP 证书校验绕过 objection → apk-reverse | 真错 |
| 平局取工具方 | 用 nmap 扫完出个报告 → R11；mysql 注入 → R35 | 可辩护 |
| 口语掉置信 | 抓一下 APP 的请求看看签名怎么算 → R0，confidence=low | 标记正确 |
第一个是实锤 bug：R9 恶意软件规则的 mustAll 里有一项裸词 cape（指 CAPE 沙箱），没有词边界，于是 “escape” 直接命中。我补测了四个变体：「sandbox escape」「k8s sandbox escape」「escape from sandbox」全部被判给 malware-analysis，只有中文「容器逃逸」落到正确的 cloud-k8s——因为规则写的是 docker.?escape|container.?escape，中间插一个词就不匹配，而官方基准里 R23 的逃逸用例措辞恰好全都带字面 container/docker，所以 178 条自测全绿也测不出这个洞。第二个是规则不对称：mysql、postgres、mongodb 是裸词直达 R35 数据库安全，redis 却要求 redis.?secur 相邻出现，一句「redis 未授权访问」（渗透测试里最经典的一句话）就漏到了通用渗透。第三个是优先级设计：iOS 与 APK 两条规则同时命中时，R1 排在 R2 前面，于是带 objection 的 iOS 任务进了 APK 技能。
我又围绕这个洞补了四个探针：「sandbox escape」「k8s sandbox escape」「escape from sandbox」三条英文全部落进 malware-analysis，「sandbox 逃逸」因为没有 escape 字面、R9 的 mustAll 不成立，干脆跌到逆向工程兜底——同一个意思，换种说法就换来三种不同结局，路由表对英文子串的敏感和对中文语义的迟钝同时暴露。
值得肯定的是置信度机制真的在工作：中文口语「抓一下这个 APP 的请求看看签名」匹配不到任何字面关键词，路由退回兜底 R0 并标了 confidence=low——它知道自己没听懂，这比硬给一个 high 强得多。合起来看，官方基准考的是「关键词表内命题」，我的 56 条考的是「把同一件事换种说法再问一遍」——178/178 与 49/56 之间的差距，就是这套路由在真实对话里的安全边际。
生态、赞助与中文圈的数字滞后
项目挂了三家赞助（UCloud AstraFlow、AtlasCloud、Kite AI），自建了教程站与 star-history 图，并上了 Trendshift 榜。文档纪律倒是罕见地完整：REPORTING.md 约束证据格式（Finding 必须带 PoC、Path、Impact 三件套）、CHANGELOG 记录到最近一次提交（v1.0.1 是唯一正式 release）、RULES 有中英两版，甚至 burp-mcp-full/ 里嵌了完整的 MCP 服务端代码。中文圈已有教程向覆盖：知乎两篇、腾讯云一篇、CSDN 与 CodePass 各一篇，但口径明显滞后——8 月 20 日的知乎长文还写着「41 条路由规则 + 163 个回归用例」（现在是 44 + 178），Threads 上 20 小时前的热帖还在转「27.5k 星」，而我实测拿到的是 36,908，两天差了九千多。没有一篇做过实测复核——中文教程基本停在安装向，没人跑过一次 test-routing，也没人指出 README 状态表与实际文件差了 3 条用例。这也是本文只做一件事的原因：把它自己出的题和我出的题都跑一遍，让 36,908 这个星数落在可验证的地面上。
什么时候不适合用
它不是万能插件，四种场景建议绕开：任务不在 44 条规则覆盖域里（Web CRUD、数据分析、写作润色），每次请求都要先付一遍路由上下文再落到 R0 兜底，纯亏；中文口语描述容易掉出关键词覆盖，命中不了就得自己补一句术语（我实测中文场景 88% 通过，剩下基本败在口语重述上）；越是关键任务，越不能只信那 178 条全绿——cape 这个洞证明自测基准有盲区，master-route 的输出要人眼过一遍再往下走；另外它的主线是 Windows（PowerShell 一等公民，bash 是对等移植），Linux/Kali 用户建议直接读 kali/ 平台文档。如果你只是想给 Agent 加一个单点能力，装个几百行的小 skill 比引一整套路由与授权流程轻得多——那样的话，先看你更适合哪种，再决定要不要它。