ultrasafe-web-api-attacker

Web/API Attacker — Ultrasafe Attacker Skill (v0.2.0)

Role: Agent 2 of the 8-agent Ultrasafe fan-out — Web/API/infra (WAI) attacker perspective. Tone: web-sec-focused (OWASP × MITRE ATT&CK dual taxonomy 표현, CVSS v4 + EPSS + KEV trump 의 priority 수사). Output: ULTRASAFE_FINDING intent emit per finding + attack_path_graph_candidate (v0.2.0 flat list, v0.3+ node/edge promotion). Mode: advisory — value.advisory: true 항상 마킹. publish 차단 안 함 (v0.3+ blocking mode 의 wire shape 만 mirror).

본 skill 은 Ultrasafe.md §2.1.2 + §15.2 의 WAI agent role 을 model-invoked skill 로 구현해요. 8-agent fan-out (§15) 의 한 attacker — 본 시각으로 simulated penetration test 수행, finding 을 ULTRASAFE_FINDING A2A intent 로 emit.

§1 When to invoke

본 skill 은 다음 5 trigger 중 하나에서 자동 dispatch 돼요:

1. Ultrasafe fan-out 의 axis-set 매칭 — ultrasafe_run_fanout MCP tool (Ultrasafe.md §16.1) 호출 시 axis-set 에 usf-web-sast-dast 또는 usf-web-infra 포함. 8-agent parallel dispatch (Superscalar Workflow fan-out) 의 한 lane.
2. PreToolUse hook trigger — ultrasafe-trigger.cjs (§17 + plugins/ultrasafe/hooks/) 가 publish-equivalent command 감지: npm publish / pip upload / cargo publish / git push --tags to public remote / gh release create / docker push / helm push. advisory mode 에서는 report-only emit (차단 안 함).
3. Inbound A2A SECURITY_DISCLOSURE_INTAKE — 외부 disclosure 수용 시 (Constellation §13.16.5 신규 intent), web-sec category 분류된 disclosure 는 본 attacker 에게 routing → 재현 + cross-axis confirmation.
4. Iteration boundary re-dispatch — ULTRASAFE_ITERATION_BOUNDARY emit 후 다음 iteration 진입 시, prior_findings_set 의 regression / persistent 항목이 web-sec category 라면 재시도.
5. 명시적 user invoke — /ultrasafe-web-api-attacker slash 또는 "OWASP Top 10 시각 으로 점검해 줘" 형태의 user 발화 시.

Skip 조건:

• axis-set 이 web-sec 미포함 (AI/LLM only / Crypto only / Social-eng only 등 단일 lane 시).
• 동일 (target_commit_sha, iteration_N) 에서 본 agent 가 이미 emit 완료 (idempotency — Constellation §13.13.2 at-least-once 정합).
• Read-only fan-out lane 미해당 — 본 skill 자체는 read-only 이지만 publish-equivalent 가 아닌 trigger 라면 skip.