dsh-armorbreak

把安全研究 Agent 真正放进授权现场时，常见问题是工具堆叠挤占上下文、模型把扫描告警当成漏洞、日志散落导致结论无法回到证据，以及权限只靠提示词、执行层一漂移就越界。ArmorBreak 是 DeepSeek Harness 上的 Cordis Bundle 与 Agent preset：不改动 Harness 核心，把授权边界、真实执行、证据链和可复核报告做成可安装、可卸载、可审计的一整套模式。

核心侧是 46 个真实可执行的离线分析能力，覆盖二进制识别、APK 审计、PCAP 取证、源码与 SBOM 审计、CTF 解码等八个域；另有 7 个内置技能、9 个工作流模板，以及 10 个面向模型的工具入口。执行走 L0–L3 代码级权限引擎与单一执行入口，默认拒绝、需审批才动态执行，L3 永久拒绝破坏性或未授权行为。每个任务产出带 SHA-256 的证据哈希链与审计链，报告可引用证据 id，并支持 Markdown、SARIF 等多种交付格式——口号是「Evidence or it didn't happen」。

运行时仅依赖 Node 内置模块，零第三方运行时依赖，适合在受限主机上即装即用。Composer 里还有只读状态卡，展示能力、隔离与策略快照，方便对照当前任务范围。

适合软件安全研究员、逆向与 CTF 学习者、代码审计与安全开发、以及 DFIR 分析人员，在本地样本静态分析、APK/PCAP/源码审计、授权范围内的受控测试等场景使用；不适用于未授权扫描、凭据窃取或破坏性操作。