TDIR IOC 情报查询与调查富化

本 Skill 可独立完成 IOC 情报查询或授权取样，也可为 review 补证；不以洞察 ID、L1 结论或证据包为前提。遵守 ../tdir-shared/SKILL.md 的认证与输出契约，使用 TDIR_CLI_AGENT=1。按具体疑点选择直接使用 tdir intel，或在已授权取样时使用 tdir samples download；先读相关叶子帮助。本地只需 TDIR 登录，不从其他 Agent 配置中提取密钥。

独立查询 IOC 情报

用户直接要求“查这个 IP/域名/MD5 的情报、是否已知恶意、为什么有这个标签”时，在请求范围内直接使用 tdir intel lookup <value> --json。没有指定视图时默认 info，一次基础查询；MD5 的 info 由 MCP 直接使用一次 contexts，按回执实际 view/action 解释，不宣称取得了 info 信誉判定。明确要求详情、标签依据、直接关系或历史解析时，直接选择对应视图，无需先补做 info。视图和参数见 查询与样本引用。

独立请求按查询结果回答即可，不启动完整 review、response，不自动拉取样本。tdir intel status 仅在需要了解能力配置时使用，不作为每次查询的必经步骤；configured=true 不证明上游连通。

结果中说明对象和类型、提供方及查询时间、实际返回的判定/标签及关键依据；上游记录时间单独说明。保留所用 view、response 字段路径和覆盖限制，区分无记录、成功空列表、无判定字段、失败与只读取部分结果。退出 0 且 .ok=true、.data.status=no_record 表示 BTI 返回 RecordNotFound，只说明回执 query 中本次对象、视图及筛选条件无记录，不能解释为查询失败、对象安全或其他视图无记录。空 Contexts 仍按成功空上下文解释；详见 结果解释。没有实际返回的恶意判定时不自行补出该字段，情报命中也不表示某台终端已执行或失陷。

tdir entities get 查询 TDIR 已存画像，tdir entities links list 查询平台内关联；两者不会触发 BTI 实时查询。BTI 暂不支持 URL、SHA1、SHA256；明确说明该请求未执行 BTI 查询，按需要引用平台已存画像时标注其来源，不能将画像结果冒充实时情报，也不猜测或转换 MD5。

洞察调查中的按需补证

先说明尚缺事实及它可能改变哪个判断，复用已有证据。与 review 配合时沿用其建议模式或推进模式：建议模式给出可选动作并等待选择；推进模式在既有范围内执行必要的只读情报核实。用户已明确要求某项情报查询时直接执行，不另行要求查询授权；样本下载仍需已有明确取样授权。能力不明确时用 tdir intel status 查看配置状态，此状态不证明上游在线可用。