@yottameta/yotta-intel 0.1.0

package/CHANGELOG.md

@@ -0,0 +1,16 @@
+# 更新日志
+
+## v0.1.0 (2026-08-27)
+
+初始发布：
+
+- 引擎：零依赖（Python 3.8+ 标准库）威胁情报 IOC 提取与规范化。
+- 七类 IOC：IPv4 / IPv6 / 域名 / URL / 邮箱 / 哈希（MD5/SHA1/SHA256/SHA512）/ CVE 编号。
+- defang / refang：识别 `hxxp`、`[.]`、`(.)`、`[dot]`、`[:]`、`[@]`、`[/]` 等常见去活性写法并还原；
+  每条结果自带统一 defang 安全形态。
+- 归一化：域名小写 + IDN punycode、URL 去默认端口 / 去 fragment / 保留 userinfo、哈希小写、IPv6 压缩写法。
+- 去重计数：`(类型, 规范值)` 为键合并，记录 count / first_line / snippet。
+- 误报控制：域名 TLD 白名单 + 文件名过滤（README.md / test.py 不算域名）+ 中文标点截断 + 哈希长度校验。
+- 四种输出：text / JSON / CSV / STIX-lite（STIX 2.1 Bundle + indicator pattern，uuid5 确定性）。
+- 测试：103 个用例全绿；含 CLI 端到端（stdin / 文件 / 退出码）。
+- 文档：SKILL.md + README 中英双版 + references（ioc-spec / defang-rules / stix-lite-spec）。

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 YottaMeta
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/NOTICE

@@ -0,0 +1,11 @@
+# NOTICE — YottaMeta 品牌声明
+
+「YottaMeta」「元情」「yotta-intel」「元察」「yotta-logwatch」「元史」「yotta-logs」「元忆」「yotta-memory」以及本家族各技能名称（yotta-* 前缀）是 YottaMeta 的品牌与标识。
+
+本软件以 MIT 许可证开源，任何人均可自由使用、修改与分发。若你在其基础上制作派生作品：
+
+1. 不得继续使用 YottaMeta 或本家族名称（yotta-*、元情、元察、元史、元忆 等）作为派生作品的名称；
+2. 不得暗示派生作品由 YottaMeta 官方维护、认可或与之存在关联；
+3. 建议在派生作品中明确声明「与 YottaMeta 官方无关联」。
+
+上游来源致谢：本技能由 YottaMeta 全新实现（零依赖自研 + 中文教学），威胁情报 IOC 提取 / defang / STIX 映射方向参考开源社区 threat-intelligence / IOC-extraction 类技能思路，无上游代码。

package/README.md

@@ -0,0 +1,170 @@
+<p align="center"><b>Language</b>: English · <a href="./README.zh-CN.md">中文</a></p>
+
+<p align="center">
+  <img src="assets/banner.png" alt="yotta-intel banner" width="100%" />
+</p>
+
+<h1 align="center">yotta-intel · 元情 (Yuanqing)</h1>
+
+<p align="center">YottaMeta's zero-dependency threat-intel IOC extraction & normalization engine: extracts <b>IP (IPv4/IPv6), domains, URLs, emails, hashes (MD5/SHA1/SHA256/SHA512) and CVE IDs</b> from threat reports, security write-ups, phishing emails and logs; recognizes and reverses defanged forms; deduplicates and normalizes; outputs <b>CSV / JSON / STIX-lite</b>.</p>
+<p align="center">Activates when the user provides text with suspicious IPs / domains / URLs / hashes and needs IOC extraction, normalization, dedup, format conversion, or safe sharing — <b>fully local and offline: no reputation lookups, no sample downloads, no proactive scanning</b>.</p>
+<p align="center">No external tools required (Python 3.8+ standard library); Windows + Linux + macOS; every result ships a defanged form for safe sharing plus a Chinese plain-language context line.</p>
+
+<p align="center">
+  <a href="LICENSE"><img alt="License: MIT" src="https://img.shields.io/badge/license-MIT-blue" /></a>
+  <a href="https://agentskills.io/"><img alt="Standard: agentskills.io" src="https://img.shields.io/badge/standard-agentskills.io-orange" /></a>
+  <a href="https://www.npmjs.com/package/@yottameta/yotta-intel"><img alt="npm package" src="https://img.shields.io/npm/v/@yottameta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel"><img alt="GitHub stars" src="https://img.shields.io/github/stars/YottaMeta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel/commits/main"><img alt="last commit" src="https://img.shields.io/github/last-commit/YottaMeta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel"><img alt="PRs welcome" src="https://img.shields.io/badge/PRs-welcome-brightgreen" /></a>
+</p>
+
+## What it is
+
+Threat analysis often starts with "find the indicators in this blob of text": which suspicious IPs does this report mention? What are the domains / links in that phishing email? What hashes appear and which algorithm do they use? Yuanqing packages this into a zero-dependency engine — no MISP / OpenCTI / commercial intelligence platform needed. It extracts IOCs, handles defang/refang, deduplicates, normalizes, and converts formats using only the Python standard library.
+
+It is not tied to any single platform: it is an agent-agnostic toolkit that works in any agent supporting Agent Skills. **Fully local and offline** — no reputation lookups, no sample downloads, no proactive scanning, no resident service.
+
+## Core value
+
+- **Zero-dependency engine** — seven IOC types + defang/refang + normalization, built entirely with Python 3.8+ standard library.
+- **Seven IOC types** — IPv4 / IPv6 / domain / URL / email / hash (MD5/SHA1/SHA256/SHA512) / CVE.
+- **defang / refang** — recognizes common defanged forms (`hxxp`, `[.]`, `(.)`, `[dot]`, `[:]`, `[@]`, `[/]`) and reverses them; each result ships a canonical defanged form so sharing does not trigger accidental clicks.
+- **Dedup + normalization** — one record per unique IOC with occurrence count, first-seen line and context; domains lowercased + IDN punycode, URLs stripped of default ports, hashes lowercased, IPv6 compressed.
+- **Four output modes** — text / JSON / CSV / STIX-lite (STIX 2.1 Bundle + indicator patterns).
+- **False-positive control** — TLD whitelist + filename filter (`README.md` / `test.py` are not domains) + CJK-punctuation trimming + hash length checks.
+
+## Why use it
+
+| Advantage | Description |
+|---|---|
+| **Zero dependency** | Python 3.8+ standard library; no daemon / database / external scanner; Windows + Linux + macOS |
+| **Fully local offline** | Processes existing text only; no reputation lookups, no sample downloads, no proactive scanning |
+| **defang friendly** | Recognizes mainstream defanged forms and reverses them; outputs a unified defanged form for safe sharing |
+| **Explainable** | Each result includes type, count, first-seen line and context; reports candidate indicators only, never verdicts |
+| **Low noise** | Deterministic rules: TLD whitelist, filename filter, CJK-punctuation trimming |
+| **Ecosystem distribution** | GitHub + npm + ClawHub synced; install via npx / install.sh / manual copy |
+
+## Commands
+
+| Command | Description |
+|---|---|
+| extract | Extract IOCs and output structured results (text / json / csv / stix) |
+| extract --path / --stdin | Input from a file / standard input |
+| extract --types | Extract only the given types (comma-separated, e.g. ipv4,domain,hash) |
+| extract --format | Switch output format (text / json / csv / stix) |
+| extract --min-count | Keep only IOCs with occurrence count >= N |
+| extract --output | Write results to a file (default: stdout) |
+| defang | Replace IOCs in the text with safe defanged forms |
+| refang | Reverse defanged text back to its raw form |
+| --version | Print the version |
+
+Exit codes: extract **0** = no IOCs; **1** = IOCs found; **4** = usage or read error; defang / refang return **0** on success.
+
+## Quick start
+
+Use `python` on Windows and `python3` on Linux/macOS.
+
+```bash
+# Extract IOCs from a text file (all types, text output)
+python3 scripts/yotta_intel.py extract --path report.txt
+
+# Read from stdin, output JSON
+cat intel.txt | python3 scripts/yotta_intel.py extract --stdin --format json
+
+# Domains and hashes only, occurrence count >= 2
+python3 scripts/yotta_intel.py extract --path intel.md --types domain,hash --min-count 2
+
+# CSV for spreadsheets / platform import
+python3 scripts/yotta_intel.py extract --path intel.md --format csv --output iocs.csv
+
+# STIX 2.1 Bundle
+python3 scripts/yotta_intel.py extract --path intel.md --format stix --output iocs.json
+
+# Turn a report into a safe-to-share defanged copy (prevents accidental clicks)
+python3 scripts/yotta_intel.py defang --path report.txt --output safe.txt
+
+# Reverse a defanged intelligence note back to its raw form
+python3 scripts/yotta_intel.py refang --path safe.txt
+```
+
+Sample text output:
+
+```
+元情 yotta-intel v0.1.0 —— IOC 提取结果
+共发现 2 个 IOC：
+
+■ IPv4 地址（ipv4）
+  203.0.113.5  ×1  行 1
+    defang: 203[.]0[.]113[.]5
+    上下文: 攻击者从 203.0.113.5 发起请求。
+```
+
+## Installation
+
+Pick any of the three methods; skill files are always fetched from **npm** (GitHub can be slow without a proxy; npm supports mirrors).
+
+### Method 1: npm (recommended, one-liner)
+```bash
+# Optional China mirror: npm config set registry https://registry.npmmirror.com
+npx -y @yottameta/yotta-intel -g
+npx -y @yottameta/yotta-intel --dir <your skills dir>   # any agent: install to a custom directory
+```
+> Agent not in the preset list? Use `--dir` to point at its skills directory, or copy manually (Method 3). `--list` shows the default directory of each agent.
+
+### Method 2: install.sh
+After obtaining the skill folder (`npm pack` unpack or `git clone`), enter the folder:
+```bash
+bash install.sh -g    # user-level; bash install.sh --list shows all directories
+bash install.sh --agent codex   # a specific agent (see --list)
+bash install.sh       # project-level: auto-detect existing skills directories
+bash install.sh --dir /path/to/skills
+```
+> Covers 17 agent families, including Trae / Qwen / Comate / CodeBuddy / Kimi.
+
+### Method 3: manual copy
+Copy the whole `yotta-intel` folder into the target agent's skills directory. Common user-level locations (`%USERPROFILE%` on Windows, `~` on Linux/macOS):
+
+| Agent | User-level directory | Project-level directory |
+|---|---|---|
+| Codex | `%USERPROFILE%\.codex\skills\yotta-intel\` | `.codex\skills\` |
+| Claude Code | `%USERPROFILE%\.claude\skills\yotta-intel\` | `.claude\skills\` |
+| Cursor | `%USERPROFILE%\.cursor\skills\yotta-intel\` | `.cursor\skills\` |
+| Windsurf | `%USERPROFILE%\.codeium\windsurf\skills\yotta-intel\` | `.windsurf\skills\` |
+| opencode | `%USERPROFILE%\.config\opencode\skills\yotta-intel\` | `.opencode\skills\` |
+| Gemini | `%USERPROFILE%\.gemini\skills\yotta-intel\` | `.gemini\skills\` |
+| Goose | `%USERPROFILE%\.config\goose\skills\yotta-intel\` | `.goose\skills\` |
+| Amp | `%USERPROFILE%\.config\agents\skills\yotta-intel\` | `.agents\skills\` |
+| Kiro | `%USERPROFILE%\.kiro\skills\yotta-intel\` | `.kiro\skills\` |
+| WorkBuddy | `%USERPROFILE%\.workbuddy\skills\yotta-intel\` | `.workbuddy\skills\` |
+| Trae Code CLI | `%USERPROFILE%\.traecli\skills\yotta-intel\` | `.traecli\skills\` |
+| Trae IDE (CN) | `%USERPROFILE%\.trae-cn\skills\yotta-intel\` | `.trae\skills\` |
+| Qwen Code | `%USERPROFILE%\.qwen\skills\yotta-intel\` | `.qwen\skills\` |
+| Comate | `%USERPROFILE%\.comate\skills\yotta-intel\` | `.comate\skills\` |
+| CodeBuddy | `%USERPROFILE%\.codebuddy\skills\yotta-intel\` | `.codebuddy\skills\` |
+| Kimi | `%USERPROFILE%\.kimi\skills\yotta-intel\` | `.kimi\skills\` |
+| Generic AGENTS.md | `%USERPROFILE%\.agents\skills\yotta-intel\` | `.agents\skills\` |
+
+> If Codex's `CODEX_HOME` is set, it overrides the default; the same applies to opencode's `XDG_CONFIG_HOME`. `.agents\skills` is not a universal directory — only OpenCode / Cursor / Cline / Amp / Kimi / Gemini CLI / GitHub Copilot etc. read it; **Claude Code and Codex do not read it by default**. When unsure, use `--dir` or let the agent install it.
+
+## Output formats
+
+- **text** — a readable report grouped by type (defanged form + first-seen context included);
+- **json** — `{tool, version, generated, source, summary, indicators[]}`; each `indicator` carries `type / value / defanged / count / first_line / snippet`;
+- **csv** — `type,value,defanged,count,first_line,snippet`;
+- **stix** — a STIX 2.1 Bundle; each IOC becomes an `indicator` (pattern + `x_yottameta_*` extension properties); see `references/stix-lite-spec.md`.
+
+## Development & validation
+
+The package ships its own test script (included in the published package):
+
+```bash
+# Run the full suite (103 cases) from the skill directory
+python scripts/test_yotta_intel.py
+```
+
+Spec details live in `references/`: ioc-spec.md (type rules), defang-rules.md (defang rules), stix-lite-spec.md (STIX mapping).
+
+## License
+
+MIT © YottaMeta — see [LICENSE](./LICENSE).

package/README.zh-CN.md

@@ -0,0 +1,181 @@
+<p align="center"><b>Language</b>: <a href="./README.md">English</a> · 中文</p>
+
+<p align="center">
+  <img src="assets/banner.png" alt="yotta-intel banner" width="100%" />
+</p>
+
+<h1 align="center">yotta-intel · 元情 (Yuanqing)</h1>
+
+<p align="center">YottaMeta 的零依赖威胁情报 IOC 提取与规范化引擎：从威胁情报文本 / 安全报告 / 钓鱼邮件 / 日志中提取
+<b>IP（IPv4/IPv6）、域名、URL、邮箱、哈希（MD5/SHA1/SHA256/SHA512）与 CVE 编号</b>，
+识别并还原 defang（去活性）写法，去重、归一化后输出 <b>CSV / JSON / STIX-lite</b>。</p>
+<p align="center">触发场景：用户给出含可疑 IP / 域名 / URL / 哈希的情报文本，要提取 IOC、规范化、去重、转格式或安全共享时 —
+<b>纯本地离线，不联网查证、不下载样本、不主动扫描任何系统</b>。</p>
+<p align="center">零外部依赖（Python 3.8+ 标准库）；Windows + Linux + macOS；每条结果自带安全共享用的 defang 形态与中文说明。</p>
+
+<p align="center">
+  <a href="LICENSE"><img alt="License: MIT" src="https://img.shields.io/badge/license-MIT-blue" /></a>
+  <a href="https://agentskills.io/"><img alt="Standard: agentskills.io" src="https://img.shields.io/badge/standard-agentskills.io-orange" /></a>
+  <a href="https://www.npmjs.com/package/@yottameta/yotta-intel"><img alt="npm package" src="https://img.shields.io/npm/v/@yottameta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel"><img alt="GitHub stars" src="https://img.shields.io/github/stars/YottaMeta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel/commits/main"><img alt="last commit" src="https://img.shields.io/github/last-commit/YottaMeta/yotta-intel" /></a>
+  <a href="https://github.com/YottaMeta/yotta-intel"><img alt="PRs welcome" src="https://img.shields.io/badge/PRs-welcome-brightgreen" /></a>
+</p>
+
+## 这是什么
+
+威胁情报分析经常从「一堆文本里找指标」开始：这份报告里有哪些可疑 IP？钓鱼邮件里的域名 / 链接是什么？
+样本哈希是多少、属于哪种算法？元情把这些能力打包成零依赖引擎——不需要 MISP / OpenCTI / 商业情报平台，
+用纯 Python 标准库就能完成 IOC 提取、defang/refang、去重、归一化与格式转换。
+
+它不是任何单一平台的专属工具：它是一套与智能体无关的工具包，任何支持 Agent Skills 的智能体都能用。
+**纯本地离线**——不联网查证、不下载样本、不主动扫描任何系统、无常驻服务。
+
+## 核心价值
+
+- **零依赖引擎**——七类 IOC 提取 + defang/refang + 归一化，全部用 Python 3.8+ 标准库实现；
+- **七类 IOC**——IPv4 / IPv6 / 域名 / URL / 邮箱 / 哈希（MD5/SHA1/SHA256/SHA512）/ CVE；
+- **defang / refang**——识别 `hxxp`、`[.]`、`(.)`、`[dot]`、`[:]`、`[@]`、`[/]` 等常见去活性写法并还原；
+  每条结果自带统一 defang 形态，共享时防误点；
+- **去重 + 归一化**——同一 IOC 只保留一条，记录出现次数 / 首次行号 / 上下文；域名小写 + IDN punycode、
+  URL 去默认端口、哈希小写、IPv6 压缩写法；
+- **四种输出**——text / JSON / CSV / STIX-lite（STIX 2.1 Bundle + indicator pattern）；
+- **误报控制**——域名 TLD 白名单 + 文件名过滤（`README.md` / `test.py` 不算域名）+ 中文标点截断 + 哈希长度校验。
+
+## 为什么用它
+
+| 优势 | 说明 |
+|---|---|
+| **零依赖** | Python 3.8+ 标准库；无守护进程 / 数据库 / 外部扫描器；Windows + Linux + macOS |
+| **纯本地离线** | 只处理已存在的文本内容；不联网查证、不下载样本、不主动扫描 |
+| **defang 友好** | 识别主流去活性写法并还原；输出统一 defang 形态，安全共享防误点 |
+| **可解释** | 每条结果带类型、出现次数、首次行号与上下文；只给「候选指标」，不给定性结论 |
+| **低误报** | TLD 白名单 + 文件名过滤 + 中文标点截断等确定性规则 |
+| **生态分发** | GitHub + npm + ClawHub 三源同步；npx / install.sh / 手动复制三种安装方式 |
+
+## 命令
+
+| 命令 | 说明 |
+|---|---|
+| extract | 提取 IOC 并输出结构化结果（text / json / csv / stix） |
+| extract --path / --stdin | 指定输入文件 / 从标准输入读取 |
+| extract --types | 只提取指定类型（逗号分隔，如 ipv4,domain,hash） |
+| extract --format | 切换输出格式（text / json / csv / stix） |
+| extract --min-count | 只保留出现次数 >= N 的 IOC |
+| extract --output | 结果写入文件（默认打印到 stdout） |
+| defang | 把文本中识别到的 IOC 替换为安全 defang 形态 |
+| refang | 把 defang 文本还原为原始形态 |
+| --version | 打印版本 |
+
+退出码：extract **0** = 无 IOC；**1** = 发现 IOC；**4** = 用法或读取错误；defang / refang 成功均为 **0**。
+
+## 快速上手
+
+Windows 用 python，Linux/macOS 用 python3。
+
+```bash
+# 提取文本中的 IOC（默认全部类型，文本输出）
+python3 scripts/yotta_intel.py extract --path report.txt
+
+# 从标准输入读取，输出 JSON
+cat intel.txt | python3 scripts/yotta_intel.py extract --stdin --format json
+
+# 只提取域名与哈希，且出现次数 >= 2
+python3 scripts/yotta_intel.py extract --path intel.md --types domain,hash --min-count 2
+
+# 输出 CSV 供表格 / 平台导入
+python3 scripts/yotta_intel.py extract --path intel.md --format csv --output iocs.csv
+
+# 输出 STIX 2.1 Bundle
+python3 scripts/yotta_intel.py extract --path intel.md --format stix --output iocs.json
+
+# 把报告转成可安全共享的 defang 版（防误点）
+python3 scripts/yotta_intel.py defang --path report.txt --output safe.txt
+
+# 把 defang 情报还原成原始形态
+python3 scripts/yotta_intel.py refang --path safe.txt
+```
+
+输出示例（text）：
+
+```
+元情 yotta-intel v0.1.0 —— IOC 提取结果
+共发现 2 个 IOC：
+
+■ IPv4 地址（ipv4）
+  203.0.113.5  ×1  行 1
+    defang: 203[.]0[.]113[.]5
+    上下文: 攻击者从 203.0.113.5 发起请求。
+```
+
+## 安装
+
+三种方式任选其一，技能文件统一从 **npm** 获取（GitHub 无代理时较慢，npm 可配国内镜像加速）。
+
+### 方式一：npm（推荐，一行安装）
+```bash
+# 国内加速（可选）：npm config set registry https://registry.npmmirror.com
+npx -y @yottameta/yotta-intel -g
+npx -y @yottameta/yotta-intel --dir <你的技能目录>   # 任意智能体：指定目录安装
+```
+> 智能体不在预置列表里？用 `--dir` 指定它的 skills 目录，或手动复制（方式三）。`--list` 可查看各智能体对应的默认目录。
+
+### 方式二：install.sh 一键安装
+获取技能文件夹后（`npm pack` 解包或 `git clone`），进入技能文件夹：
+```bash
+bash install.sh -g    # 用户级；bash install.sh --list 查看全部目录
+bash install.sh --agent codex   # 指定智能体（--list 可查看可用项）
+bash install.sh       # 项目级：自动检测已存在的 skills 目录
+bash install.sh --dir /path/to/skills
+```
+> 覆盖 17 类智能体，含国内 Trae / Qwen / Comate / CodeBuddy / Kimi。
+
+### 方式三：手动复制
+把整个 `yotta-intel` 文件夹复制到目标智能体的 skills 目录。常见位置（用户级；Windows 用 `%USERPROFILE%`，Linux/macOS 用 `~`）：
+
+| 智能体 | 用户级目录 | 项目级目录 |
+|---|---|---|
+| Codex | `%USERPROFILE%\.codex\skills\yotta-intel\` | `.codex\skills\` |
+| Claude Code | `%USERPROFILE%\.claude\skills\yotta-intel\` | `.claude\skills\` |
+| Cursor | `%USERPROFILE%\.cursor\skills\yotta-intel\` | `.cursor\skills\` |
+| Windsurf | `%USERPROFILE%\.codeium\windsurf\skills\yotta-intel\` | `.windsurf\skills\` |
+| opencode | `%USERPROFILE%\.config\opencode\skills\yotta-intel\` | `.opencode\skills\` |
+| Gemini | `%USERPROFILE%\.gemini\skills\yotta-intel\` | `.gemini\skills\` |
+| Goose | `%USERPROFILE%\.config\goose\skills\yotta-intel\` | `.goose\skills\` |
+| Amp | `%USERPROFILE%\.config\agents\skills\yotta-intel\` | `.agents\skills\` |
+| Kiro | `%USERPROFILE%\.kiro\skills\yotta-intel\` | `.kiro\skills\` |
+| WorkBuddy | `%USERPROFILE%\.workbuddy\skills\yotta-intel\` | `.workbuddy\skills\` |
+| Trae Code CLI | `%USERPROFILE%\.traecli\skills\yotta-intel\` | `.traecli\skills\` |
+| Trae IDE（国内） | `%USERPROFILE%\.trae-cn\skills\yotta-intel\` | `.trae\skills\` |
+| Qwen Code | `%USERPROFILE%\.qwen\skills\yotta-intel\` | `.qwen\skills\` |
+| Comate | `%USERPROFILE%\.comate\skills\yotta-intel\` | `.comate\skills\` |
+| CodeBuddy | `%USERPROFILE%\.codebuddy\skills\yotta-intel\` | `.codebuddy\skills\` |
+| Kimi | `%USERPROFILE%\.kimi\skills\yotta-intel\` | `.kimi\skills\` |
+| 通用 AGENTS.md | `%USERPROFILE%\.agents\skills\yotta-intel\` | `.agents\skills\` |
+
+> Codex 默认目录若设置了环境变量 `CODEX_HOME`，以该变量为准；opencode 若设置 `XDG_CONFIG_HOME` 同理。`.agents\skills` 并非通用目录，仅 OpenCode / Cursor / Cline / Amp / Kimi / Gemini CLI / GitHub Copilot 等会读取，**Claude Code 与 Codex 默认不读**。不确定时用 `--dir` 指定，或让该智能体自行安装。
+
+## 输出格式
+
+- **text**：按类型分组的可读报告（含 defang 形态与首次出现的上下文）；
+- **json**：`{tool, version, generated, source, summary, indicators[]}`，`indicators` 每条含
+  `type / value / defanged / count / first_line / snippet`；
+- **csv**：`type,value,defanged,count,first_line,snippet`；
+- **stix**：STIX 2.1 Bundle，每条 IOC 生成一个 `indicator`（pattern + `x_yottameta_*` 扩展属性），
+  详见 `references/stix-lite-spec.md`。
+
+## 开发与校验
+
+技能包内自带测试脚本（随包发布）：
+
+```bash
+# 在技能目录内运行全部测试（103 个用例）
+python scripts/test_yotta_intel.py
+```
+
+规则与规范的细节见 `references/`：ioc-spec.md（类型判定）、defang-rules.md（defang 规则）、
+stix-lite-spec.md（STIX 映射）。
+
+## 许可证
+
+MIT © YottaMeta —— 详见 [LICENSE](./LICENSE)。

package/SKILL.md

@@ -0,0 +1,116 @@
+---
+name: yotta-intel
+version: 0.1.0
+description: 元情 —— 跨智能体的威胁情报 IOC 提取与规范化技能：零依赖自研从文本 / 日志 / 报告中提取 IP（IPv4/IPv6）、域名、URL、邮箱、哈希（MD5/SHA1/SHA256/SHA512）与 CVE 编号，识别并还原 defang 写法，去重、归一化后输出 CSV / JSON / STIX-lite。触发：用户给出含可疑 IP / 域名 / URL / 哈希的威胁情报文本、恶意样本分析报告、钓鱼邮件或日志，要提取 IOC、规范化、去重、转格式、共享情报时。边界：纯本地离线提取与规范化；不联网查证、不下载样本、不主动扫描任何系统；仅用于已获授权 / 自有资产 / 教学环境的安全分析。
+license: MIT
+---
+
+# 元情（yotta-intel）
+
+跨智能体的威胁情报 IOC 提取与规范化技能：零依赖自研从**威胁情报文本 / 安全报告 / 钓鱼邮件 / 日志**中提取
+**IP（IPv4/IPv6）、域名、URL、邮箱、哈希（MD5/SHA1/SHA256/SHA512）与 CVE 编号**，
+自动识别 defang（去活性）写法并还原，去重、归一化后输出 **CSV / JSON / STIX-lite**。
+
+纯 Python 3.8+ 标准库实现，零外部依赖；Windows + Linux + macOS 通用。
+**纯本地离线处理**：不联网查证、不下载样本、不主动扫描任何系统。
+
+## 何时使用
+
+- 用户给出一段威胁情报 / 恶意样本分析报告 / 钓鱼邮件 / 日志，要提取其中的 IOC；
+- 要批量归一化、去重一堆 IP / 域名 / 哈希，或把 defang 文本还原成规范形态；
+- 要把 IOC 整理成 CSV / JSON，或转成 STIX 2.1 Indicator 供平台导入；
+- 要在邮件 / 群聊 / 工单里安全共享 IOC（defang 防误点）之前做一次清洗。
+
+**Do NOT trigger**：
+- 不联网查证 IOC 是否恶意、不查询威胁情报平台、不下载样本；
+- 不主动扫描网络 / 主机，只处理**已存在**的文本内容；
+- 不在无授权情况下用于对抗他人系统；仅用于已获授权 / 自有资产 / 教学环境的安全分析。
+
+## 快速使用
+
+Windows 用 python，Linux/macOS 用 python3。
+
+```bash
+# 提取文本中的 IOC（默认全部类型，文本输出）
+python3 scripts/yotta_intel.py extract --path report.txt
+
+# 从标准输入读取，输出 JSON
+cat intel.txt | python3 scripts/yotta_intel.py extract --stdin --format json
+
+# 只提取域名与哈希，且出现次数 >= 2
+python3 scripts/yotta_intel.py extract --path intel.md --types domain,hash --min-count 2
+
+# 输出 CSV 供表格 / 平台导入
+python3 scripts/yotta_intel.py extract --path intel.md --format csv --output iocs.csv
+
+# 输出 STIX 2.1 Bundle
+python3 scripts/yotta_intel.py extract --path intel.md --format stix --output iocs.json
+
+# 把报告转成可安全共享的 defang 版（防误点）
+python3 scripts/yotta_intel.py defang --path report.txt --output safe.txt
+
+# 把 defang 情报还原成原始形态
+python3 scripts/yotta_intel.py refang --path safe.txt
+```
+
+退出码：**0** = 无 IOC（extract）；**1** = 发现 IOC（extract）；**4** = 用法或读取错误。
+defang / refang 成功均为 **0**。
+
+## 工作流程（AI 智能体执行 IOC 提取时）
+
+1. **确认范围**：明确要处理的文本 / 文件与需要的 IOC 类型；纯本地文本，不做任何外部动作。
+2. **读取**：用 `extract --path` 指向文件，或 `--stdin` 从管道读取。
+3. **提取**：引擎自动 refang 预处理 → 逐行提取七类 IOC → 归一化（小写 / IDN punycode / 去默认端口等）。
+4. **去重**：同一 IOC 只保留一条，记录出现次数、首次行号与上下文；`--min-count` 过滤低频噪音。
+5. **输出**：text / JSON / CSV / STIX-lite 四种格式；`--output` 写文件，默认打印。
+6. **决策纪律**：结果只是「候选指标」，是否恶意需人工 / 其他情报源核实；共享时用 defang 形态防误点。
+
+## 功能
+
+- **七类 IOC 提取**：IPv4、IPv6、域名、URL、邮箱、哈希（MD5/SHA1/SHA256/SHA512）、CVE 编号；
+- **defang / refang**：识别 `hxxp`、`[.]`、`(.)`、`[dot]`、`[:]`、`[@]`、`[/]` 等常见去活性写法并还原；
+  每条结果自带统一的 defang 安全形态；
+- **归一化**：域名小写 + IDN punycode、URL 去默认端口 / 去 fragment / 保留 userinfo、哈希小写、IPv6 压缩写法、
+  IPv4-mapped IPv6 规范化；
+- **误报控制**：域名 TLD 白名单 + 文件名过滤（`README.md` / `test.py` 不算域名）+ 中文标点截断 + 哈希长度校验；
+- **去重计数**：以 `(类型, 规范值)` 为键合并，记录 `count` / `first_line` / `snippet`；
+- **四种输出**：文本 / JSON（stdout 纯净）/ CSV / STIX-lite（STIX 2.1 Bundle + indicator pattern，uuid5 确定性）。
+
+详细的类型判定、defang 与 STIX 映射见 references/。
+
+## IOC 类型一览
+
+| 类型 | 中文 | 示例 | 说明 |
+|---|---|---|---|
+| ipv4 | IPv4 地址 | `203.0.113.5` | 合法八位组；前导零归一 |
+| ipv6 | IPv6 地址 | `2001:db8::1` | 压缩写法；IPv4-mapped 输出规范十六进制 |
+| domain | 域名 | `evil.example.com` | TLD 白名单；IDN 转 punycode；`README.md` 不算域名 |
+| url | URL | `http://evil.example.com/a` | http/https/ftp；去默认端口与 fragment |
+| email | 邮箱 | `admin@example.com` | 域名段校验；defang 形态 `admin[@]example[.]com` |
+| hash | 哈希 | `44d886…2f` | 仅 32/40/64/128 位十六进制 |
+| cve | CVE 编号 | `CVE-2024-1234` | 统一大写 |
+
+## 输出格式
+
+- **text**：按类型分组的可读报告（含 defang 形态与首次出现的上下文）；
+- **json**：`{tool, version, generated, source, summary, indicators[]}`，`indicators` 每条含
+  `type / value / defanged / count / first_line / snippet`；
+- **csv**：`type,value,defanged,count,first_line,snippet`；
+- **stix**：STIX 2.1 Bundle，每条 IOC 生成一个 `indicator`（pattern + `x_yottameta_*` 扩展属性）。
+
+## 边界（安全红线）
+
+- **纯本地离线**：不联网查证、不下载样本、不主动扫描任何系统，只做文本提取与规范化；
+- **不给定性**：所有 IOC 只是「候选指标」，是否恶意需人工 / 其他情报源核实；
+- **授权**：仅用于已获明确授权 / 自有资产 / 教学环境的安全分析；未经授权分析他人数据违反法律，使用者自行承担责任。
+
+## 参考文档
+
+- references/ioc-spec.md — IOC 类型与判定规则（归一化 / 误报控制 / 已知取舍）
+- references/defang-rules.md — defang / refang 规则与安全共享建议
+- references/stix-lite-spec.md — STIX-lite 输出规范与 pattern 映射
+
+## 法律声明
+
+本技能仅用于**已获明确授权**的安全分析（自有资产、授权测试、CTF 靶场、教学环境）。
+未经授权分析他人系统数据违反中国《网络安全法》与《刑法》相关条款，使用者自行承担法律责任。