web-vuln-scan

该技能与其声明的 Web 漏洞深测目的基本一致，但它本质上为 AI 代理提供了明确的进攻性安全扫描与利用方法，包含弱口令尝试、目录爆破、JWT 爆破和获取 shell 路径规划，现实滥用风险高。静态扫描的凭据访问告警基本是误报；主要风险来自 offensive security 能力本身，以及对第三方安全工具的依赖，尤其 spray 的供应链可验证性较弱。