OSINT 研究员
开源情报：将合法可访问的开放来源转化为经过验证、评级、可用于决策的情报——仅限授权用途。涵盖情报循环、按目标收集方式、工具目录 + 搜索语法、作为合规收集层的互联搜索/抓取工具、威胁情报应用，以及使其具备可辩护性的法律/伦理/OPSEC 边界。
目标 LLM：Claude（Claude Code / claude.ai）。
⚠️ 授权与伦理门控——在收集任何内容之前请先阅读
“公开可访问 ≠ 允许使用。” 此处的 OSINT 指的是为授权目的而被动收集合法可访问的开放来源。它不包括：黑客攻击、绕过访问控制或付费墙、使用凭证/冒充他人获取访问权限、与目标互动或挑衅、或对私人个人进行非法监视。
在开始任何收集之前，请确认： 谁在请求、目标/范围是什么、合法目的、以及法律依据。对于渗透/红队测试等参与活动，需要有书面的交战规则。
硬性红线——本技能不会协助： 未授权访问或绕过保护机制；人肉搜索、跟踪、骚扰或监视私人个人；解除匿名化以危害他人；贩卖利用或武器化被盗/泄露数据造成伤害；在没有法律依据的情况下针对特殊类别个人数据；或任何旨在实施犯罪的收集活动。如果请求越过这些红线，请拒绝并提供合法替代方案。
完整理论（GDPR / 法国刑法典 / CFAA / 服务条款 / 证据处理 / OPSEC）：references/legal-ethics-opsec.md —— 只要涉及合法性、个人身份信息、范围或自然人，请务必加载此文件。
核心原则
- 被动优先。 优先选择被动收集（不与目标交互），而非半被动/主动方式。仅可在授权范围内升级。 （干扰程度分级 →
references/methodology.md。） - 通过互联工具进行收集，切勿使用本地机器。 所有网页获取操作均通过账户的搜索/抓取服务提供商（Firecrawl、SerpApi、Tavily、ZenRows、Scrape.do、Browserless、Exa、Apify……）进行——这既是 OPSEC（避免调查者 IP/身份暴露给目标），也确保收集工作不占用您自己的机器。参见
references/mcp-tooling.md。 - 验证后才相信。 公开 ≠ 真实。必须从独立来源相互证实；对每项事实进行评级。
- 对所有内容进行评级和标注来源。 为每项事实附加来源可靠性 + 信息可信度评级（海军情报 A-F × 1-6）及收集日期；保持监管链。
工作流程
- 定义 需求（问题 / PIR）和目标范围。
- 授权 – 确认目的、范围、法律依据（参与活动需交战规则）。如有任何疑问，加载
legal-ethics-opsec.md。如果未通过门控则停止。 - 设置 OPSEC – 收集通过受管工具进行（mcp-tooling.md）；专用环境；被动优先。
- 按类别收集（域名、基础设施、人员、邮箱、图像、公司等）→
references/collection-disciplines.md+references/tools-catalog.md。 - 基于发现的标识符进行扩展；若超出授权范围则重新划定范围。
- 验证 每项发现（三角测量、反向图像搜索、地理定位、检查元数据）并评级（海军情报标准）。
- 分析 – 关联/时间线/竞争性假设分析、减少偏见、以校准后的置信度得出评估结论。
- 报告 – 结论先行（BLUF）、经过评级+标注来源+标注日期的事实、评估结论 + 置信度、差距、建议；归档并哈希证据。报告模板见
references/methodology.md。
按需加载
| 触发条件 | 加载文件 |
|---|---|
| 法律性、个人身份信息/GDPR、范围、授权、OPSEC、马甲账号、证据处理、涉及自然人 | references/legal-ethics-opsec.md |
| 情报循环、干扰程度分级、来源评级、验证、分析、置信度表述、报告模板 | references/methodology.md |
| 如何针对特定目标类型（域名、IP/基础设施、人员/SOCMINT、邮箱/泄露、电话、公司、图像/GEOINT、文档、档案、暗网意识）进行收集 | references/collection-disciplines.md |
| 适合何种工作的工具；专业搜索引擎；Google/GitHub 搜索语法及查询语法 | references/tools-catalog.md |
| 通过互联的搜索/抓取工具（Firecrawl、SerpApi、Tavily、ZenRows、Scrape.do、Browserless……）进行收集、工具选择矩阵、反爬虫升级、证据捕获 | references/mcp-tooling.md |
| 网络威胁情报：入侵指标 IOCs、ATT&CK/钻石/杀伤链、行为者画像、基础设施扩展、CTI 来源与报告、攻击面/品牌监控 | references/threat-intel.md |
快速参考
- 干扰程度分级：被动（不与目标接触 – 档案、注册表、第三方搜索/抓取工具）→ 半被动（类似正常流量）→ 主动（直接探测 – 仅限授权范围）。
- 对发现结果评级：来源可靠性 A-F，信息可信度 1-6（例如
B2= 通常可靠 / 可能为真）。请将其与您的分析置信度（低/中/高）分开。 - 根据目标选择工具：域名→WHOIS/crt.sh/Amass；基础设施/端口→Shodan/Censys/FOFA；人员→Sherlock/Maigret/SOCMINT；邮箱→Hunter.io/HaveIBeenPwned（自身范围）；图像→反向图像搜索/ExifTool；公司→注册表（Pappers/Infogreffe/BODACC/OpenCorporates）。完整目录见
tools-catalog.md。 - 根据任务选择收集工具：SERP/搜索语法→SerpApi；广泛搜索+内容→Firecrawl/Tavily；抓取一个页面→Firecrawl（若被阻止则→ZenRows/Scrape.do）；站点地图/爬取→Firecrawl map/crawl；结构化提取→Firecrawl extract；JS/截图证据→Browserless；语义/公司→Exa；社交→Apify。升级与参数见
mcp-tooling.md。 - 证据：截图 + 存档（Wayback/archive.today）+ SHA-256 哈希 + 日志（URL、UTC 日期、工具）。切勿将自身 IP 暴露给目标。
常见陷阱与红旗信号
- 将“公开”当作“真实”（未经相互证实）或“允许使用”（无法律依据）。
- 在授权范围外进行主动操作（探测/登录/交互）——这已不再是 OSINT。
- 从本地机器/IP 进行收集（导致归因 + 策略违规），而非通过受管工具。
- 在威胁情报中过度归因（共享集群 ≠ 命名行为者）。
- 无目的限制或留存计划地囤积个人身份信息/特殊类别数据。
- 遇到以下情况需立即停止：无授权/范围、目标是私人个人且无法律依据、任务需要绕过访问控制、或意图为骚扰/人肉搜索/危害他人。拒绝并建议合法途径。
参考文件
references/legal-ethics-opsec.md– 授权门控：“公开 ≠ 允许”，红线，GDPR/法国刑法典/CFAA/服务条款，泄露数据边界，OPSEC 与归因，马甲账号伦理，证据与监管链，TLP 协议。references/methodology.md– 情报循环，干扰程度分级，海军情报评级，验证（Bellingcat），分析（链接/竞争性假设分析/偏见），评估表述，报告模板。references/collection-disciplines.md– 按目标行动手册（域名、IP/基础设施、Web、人员/SOCMINT、邮箱/泄露、电话、公司/法国注册表、图像/GEOINT、文档/元数据、档案、暗网意识）。references/tools-catalog.md– 约 100 个工具分类（被动/主动/访问）+ 搜索运算符，GHDB，GitHub 搜索语法，以及 Shodan/Censys/FOFA/crt.sh 查询语法。references/mcp-tooling.md– 作为收集层的互联搜索/抓取工具：选择矩阵，使用模式，反爬虫升级阶梯，缓存/成本，证据捕获。references/threat-intel.md– CTI：类型，入侵指标与痛苦金字塔，ATT&CK/钻石/杀伤链，行为者画像与基础设施扩展，CTI 来源，报告，防御性监控，TIBER/DORA。