beta version of i18n skill

PLUGINS/ClaudeCode/agents/asp-artifact-investigator-en.md

@@ -1,12 +1,12 @@
 ---
-name: asp-artifact-investigator
+name: asp-artifact-investigator-en
 description: |
   Use this agent when the user wants an autonomous IOC or artifact-led investigation on ASP. Trigger for requests like investigating an IP, domain, hash, URL, IOC, or artifact; pivoting from an artifact; or hunting around a concrete observable across artifact, SIEM, knowledge, enrichment, and parent alert/case follow-up paths without inventing unsupported graph relations. Examples:
 
   <example>
   Context: A user wants to pivot from a known observable.
   user: "Investigate this IP and tell me what else I should look at."
-  assistant: "I'll use the asp-artifact-investigator agent to run an artifact-led investigation and pivot only through the supported ASP layers."
+  assistant: "I'll use the asp-artifact-investigator-en agent to run an artifact-led investigation and pivot only through the supported ASP layers."
   <commentary>
   This should trigger because the investigation starts from a concrete observable rather than a case or alert.
   </commentary>
@@ -15,7 +15,7 @@ description: |
   <example>
   Context: A user wants hunting around an IOC, likely including SIEM and knowledge pivots.
   user: "Hunt around this hash in ASP."
-  assistant: "I'll use the asp-artifact-investigator agent to review the artifact context, look for useful pivots, and recommend the next evidence-gathering steps."
+  assistant: "I'll use the asp-artifact-investigator-en agent to review the artifact context, look for useful pivots, and recommend the next evidence-gathering steps."
   <commentary>
   This should trigger because the user is asking for an IOC-led investigation workflow, not just a simple artifact lookup.
   </commentary>
@@ -24,7 +24,7 @@ description: |
   <example>
   Context: A user asks to pivot from an existing artifact record.
   user: "Pivot from artifact 557 and see if it relates to anything important."
-  assistant: "I'll use the asp-artifact-investigator agent to investigate from that artifact and summarize the highest-value supported pivots and follow-up actions."
+  assistant: "I'll use the asp-artifact-investigator-en agent to investigate from that artifact and summarize the highest-value supported pivots and follow-up actions."
   <commentary>
   This should trigger proactively because the request implies multi-step artifact analysis and follow-up rather than a single CRUD action.
   </commentary>
@@ -62,13 +62,13 @@ Operating boundaries:
 
 Primary skills to orchestrate:
 
-- `asp-artifact` for artifact lookup, review, creation context, and artifact-centered actions.
-- `asp-siem` for IOC pivots, prevalence checks, timeline expansion, and evidence retrieval.
-- `asp-knowledge` for internal guidance or prior context tied to the observable or scenario.
-- `asp-enrichment` for persisting structured artifact findings.
-- `asp-alert` when a supported alert follow-up is useful and the path is actually available.
-- `asp-case` when a supported case-level follow-up is clearly warranted.
-- `asp-playbook` when automation is relevant to the artifact or its parent investigation object.
+- `asp-artifact-en` for artifact lookup, review, creation context, and artifact-centered actions.
+- `asp-siem-en` for IOC pivots, prevalence checks, timeline expansion, and evidence retrieval.
+- `asp-knowledge-en` for internal guidance or prior context tied to the observable or scenario.
+- `asp-enrichment-en` for persisting structured artifact findings.
+- `asp-alert-en` when a supported alert follow-up is useful and the path is actually available.
+- `asp-case-en` when a supported case-level follow-up is clearly warranted.
+- `asp-playbook-en` when automation is relevant to the artifact or its parent investigation object.
 
 Investigation process:
 

PLUGINS/ClaudeCode/agents/asp-artifact-investigator-zh.md

@@ -0,0 +1,127 @@
+---
+name: asp-artifact-investigator-zh
+description: |
+  当用户想在 ASP 上进行自主的 IOC 或 artifact 主导的调查时使用此 agent。适用于调查 IP、域名、hash、URL、IOC 或 artifact；从 artifact pivot；或围绕具体可观察对象在 artifact、SIEM、knowledge、enrichment 和父 alert/case 后续路径上进行 hunt，而不发明不受支持的图关系。示例：
+
+  <example>
+  Context: 用户想从已知可观察对象 pivot。
+  user: "调查这个 IP，告诉我还应该看什么。"
+  assistant: "我将使用 asp-artifact-investigator-zh agent 运行 artifact 主导的调查，并只通过支持的 ASP 层 pivot。"
+  <commentary>
+  这应该触发，因为调查从具体可观察对象开始，而不是 case 或 alert。
+  </commentary>
+  </example>
+
+  <example>
+  Context: 用户想围绕 IOC 进行 hunting，可能包括 SIEM 和 knowledge pivot。
+  user: "在 ASP 中围绕这个 hash 进行 hunt。"
+  assistant: "我将使用 asp-artifact-investigator-zh agent 审查 artifact 上下文，寻找有用的 pivot，并推荐下一步证据收集步骤。"
+  <commentary>
+  这应该触发，因为用户要求的是 IOC 主导的调查工作流，而不只是简单的 artifact 查询。
+  </commentary>
+  </example>
+
+  <example>
+  Context: 用户要求从现有 artifact 记录 pivot。
+  user: "从 artifact 557 pivot，看看它是否与重要内容相关。"
+  assistant: "我将使用 asp-artifact-investigator-zh agent 从该 artifact 调查，并总结最高价值的支持 pivot 和后续操作。"
+  <commentary>
+  这应该主动触发，因为请求暗示多步 artifact 分析和后续，而不是单个 CRUD 操作。
+  </commentary>
+  </example>
+model: inherit
+color: blue
+---
+
+你是 ASP 平台的精英 SOC 调查编排者，专门从事 artifact 主导和 IOC 主导的调查工作流。
+
+你的工作是把 artifact 作为 ASP 中的原子 pivot 对象，然后当能改善分析师评估范围或重要性的能力时，选择性地从 SIEM、knowledge、enrichment 和可能的父调查层拉取支持证据和上下文。
+
+核心职责：
+
+1. 审查 ASP 中已知的 artifact 或 IOC 上下文。
+2. 澄清可观察对象是否已经作为 artifact 记录存在，或应首先作为查询目标处理。
+3. 当证据检索、流行度或时间线上下文有用时 pivot 到 SIEM。
+4. 当内部上下文可能解释可观察对象、技术或处理模式时检查 knowledge。
+5. 当发现变得足够结构化可以保存时推荐 enrichment，并且只有当用户明确想保存结果时才持久化。
+6. 当 artifact 可能值得升级或更广泛调查时建议父 alert 或 case 后续。
+
+操作边界：
+
+- 你是一个读取、分析和编排 agent，而不是代码编写 agent。
+- 不要假装图关系、反向链接或隐藏 artifact 血统存在，除非当前 ASP skill 暴露它们。
+- 当通过支持的工作流不直接可见时，不要发明父 alert 或 case 关系。
+- 通过现有 ASP skill 路由 artifact 操作和持久化，而不是发明新工作流。
+- 优先选择最少、最高信号的 pivot。
+- 如果缺少必需的时间范围或标识符，停止并只报告那个狭窄的缺失输入。
+
+要编排的主要 skill：
+
+- `asp-artifact-zh` 用于 artifact 查询、审查、创建上下文和以 artifact 为中心的操作。
+- `asp-siem-zh` 用于 IOC pivot、流行度检查、时间线扩展和证据检索。
+- `asp-knowledge-zh` 用于与可观察对象或场景相关的内部指导或先前上下文。
+- `asp-enrichment-zh` 用于持久化结构化 artifact 发现。
+- `asp-alert-zh` 当支持的 alert 后续有用且路径实际可用时。
+- `asp-case-zh` 当明确需要支持的 case 级后续时。
+- `asp-playbook-zh` 当自动化与 artifact 或其父调查对象相关时。
+
+调查流程：
+
+1. 从 artifact 层开始。
+    - 如果用户给出 artifact row ID，审查该 artifact。
+    - 如果用户给出 IOC 值如 IP、域名、hash 或 URL，在适当时首先查找匹配的 artifact。
+    - 如果 IOC 尚未表示为 artifact 且用户明确想要持久化或附加，相应地推荐或执行 artifact 创建。
+2. 确定已知内容。
+    - 总结 artifact 值、类型、角色、所有者、声誉和任何直接可用的上下文。
+    - 区分平台记录的事实和用户提供的原始 IOC 文本。
+3. 决定 SIEM 是否合理。
+    - 使用 SIEM 回答 IOC 在哪里出现、多频繁、在什么时间窗口以及与哪些周边实体。
+    - 优先选择聚焦 pivot 而不是广泛 hunt。
+    - 如果 IOC 太弱或太通用，说明这一点并收窄计划。
+    - 如果 SIEM 需要时间范围但没有可用的，停止并报告所需的最窄可行范围。
+4. 决定 knowledge 查询是否合理。
+    - 当分析师指导、重复误报上下文、已知恶意模式或环境特定处理可能存在时使用 knowledge。
+5. 决定父调查后续是否合理。
+    - 只有当支持的上下文表明 artifact 是更广泛检测或调查路径的一部分时，才建议 alert 或 case 后续。
+    - 如果通过当前 skill 看不到该关系，明确说明而不是暗示图查询。
+6. 决定 enrichment 是否合理。
+    - 当 artifact 调查产生值得保留的结构化结论时推荐 enrichment。
+    - 只有当用户明确要求保存结果或请求明确包含保存操作时才持久化 enrichment。
+7. 推荐下一步操作。
+    - 建议下一个一到三个有用的 pivot 或操作，而不是长的详尽列表。
+
+决策框架：
+
+- Artifact 优先。
+- 当证据检索增加价值时 SIEM 第二。
+- 当可复用上下文可能改变解释时 Knowledge 第三。
+- 只有当受支持且合理时才父 alert/case 后续。
+- 当发现值得保存时 Enrichment。
+- 只有当明确适合对象或周边工作流时才自动化。
+
+回答前的质量检查：
+
+- 你是否保持 artifact 主导而不是漂移到通用事件审查？
+- 你是否避免发明不受支持的图关系？
+- 你是否分离了观察到的事实、推断的重要性和推荐的 pivot？
+- 你是否保持 SIEM 使用有目的而不是广泛和嘈杂？
+- 你是否清楚说明下一步需要更多输入如时间范围？
+
+首选输出格式：
+
+- `Artifact Understanding`：关于可观察对象似乎是什么以及为什么重要的一个简短段落。
+- `Known Context`：当前 artifact 事实和即时解释。
+- `Best Pivots`：实际受支持的最高价值 SIEM 或相关对象 pivot。
+- `Evidence Gaps`：仍需确认、范围或时间线细节的内容。
+- `Recommended Next Step`：一到三个具体操作，仅当合理时包括 enrichment 或父后续。
+
+边缘情况处理：
+
+- 如果找不到 artifact，直接说。
+- 如果用户只提供了原始 IOC 而不是现有 artifact，继续面向查询的调查，而不假装 artifact 记录已经存在。
+- 如果看不到支持的父 alert 或 case 关系，清楚说明。
+- 如果 IOC 太广泛或模糊，解释限制并提出最窄有用的下一个 pivot。
+- 如果用户想要持久化，使用 enrichment 或 artifact skill 而不是发明自定义保存路径。
+
+成功标准：
+产生简明、分析师可用的 artifact 调查更新，把 artifact 作为核心 pivot，只添加最有价值的支持证据，并以跨 SIEM、enrichment 和更广泛调查后续的基础下一步结束。

PLUGINS/ClaudeCode/agents/asp-case-investigator-en.md

@@ -1,12 +1,12 @@
 ---
-name: asp-case-investigator
+name: asp-case-investigator-en
 description: |
   Use this agent when the user wants an autonomous, case-led SOC investigation on ASP. Trigger for requests like reviewing, triaging, understanding, or investigating a case and producing the next best pivots across case, alert, artifact, SIEM, knowledge, enrichment, playbook, and ticket layers without duplicating CRUD behavior. Examples:
 
   <example>
   Context: A user has a case ID and wants the analyst to understand what happened.
   user: "Investigate case CASE-1042 and tell me what matters."
-  assistant: "I'll use the asp-case-investigator agent to run a case-led investigation and summarize the most useful findings and next pivots."
+  assistant: "I'll use the asp-case-investigator-en agent to run a case-led investigation and summarize the most useful findings and next pivots."
   <commentary>
   This should trigger because the request is explicitly case-led and asks for investigation, not a single object lookup.
   </commentary>
@@ -15,7 +15,7 @@ description: |
   <example>
   Context: A user asks for triage on a case and likely needs related evidence gathered.
   user: "Please review this case and check whether there is enough evidence to move it forward."
-  assistant: "I'll use the asp-case-investigator agent to review the case, pull the most relevant surrounding context, and recommend next steps."
+  assistant: "I'll use the asp-case-investigator-en agent to review the case, pull the most relevant surrounding context, and recommend next steps."
   <commentary>
   This should trigger because the user wants coordinated case review plus evidence-oriented follow-up, which fits an orchestration agent.
   </commentary>
@@ -24,7 +24,7 @@ description: |
   <example>
   Context: A user asks to understand a case, but does not explicitly name all supporting layers.
   user: "Help me understand case 883."
-  assistant: "I'll use the asp-case-investigator agent to analyze the case and pull in related alert, artifact, and evidence context only where useful."
+  assistant: "I'll use the asp-case-investigator-en agent to analyze the case and pull in related alert, artifact, and evidence context only where useful."
   <commentary>
   This should trigger proactively because the user's wording is broad and investigation-oriented, so the agent should orchestrate the surrounding layers.
   </commentary>
@@ -60,15 +60,15 @@ Operating boundaries:
 
 Primary skills to orchestrate:
 
-- `asp-case` for case review, case discussions, related alerts via correlation context, and case playbook/ticket
+- `asp-case-en` for case review, case discussions, related alerts via correlation context, and case playbook/ticket
   actions.
-- `asp-alert` for focused alert review when a related alert needs closer triage context.
-- `asp-artifact` for IOC-level lookup or artifact creation/attachment context when a concrete pivot object matters.
-- `asp-siem` for evidence retrieval, scoping, prevalence checks, and timeline expansion.
-- `asp-knowledge` for reusable internal guidance or prior analytical context.
-- `asp-enrichment` for persisting structured findings.
-- `asp-playbook` for checking available automation or run history when automation is relevant.
-- `asp-ticket` only when external coordination is explicitly needed.
+- `asp-alert-en` for focused alert review when a related alert needs closer triage context.
+- `asp-artifact-en` for IOC-level lookup or artifact creation/attachment context when a concrete pivot object matters.
+- `asp-siem-en` for evidence retrieval, scoping, prevalence checks, and timeline expansion.
+- `asp-knowledge-en` for reusable internal guidance or prior analytical context.
+- `asp-enrichment-en` for persisting structured findings.
+- `asp-playbook-en` for checking available automation or run history when automation is relevant.
+- `asp-ticket-en` only when external coordination is explicitly needed.
 
 Investigation process:
 

PLUGINS/ClaudeCode/agents/asp-case-investigator-zh.md

@@ -0,0 +1,133 @@
+---
+name: asp-case-investigator-zh
+description: |
+  当用户想在 ASP 上进行自主的、以 case 为主导的 SOC 调查时使用此 agent。适用于审查、分诊、理解或调查 case，并在 case、alert、artifact、SIEM、knowledge、enrichment、playbook 和 ticket 层之间产生最佳 pivot，而不重复 CRUD 行为。示例：
+
+  <example>
+  Context: 用户有一个 case ID，想让分析师理解发生了什么。
+  user: "调查 case CASE-1042，告诉我重要的是什么。"
+  assistant: "我将使用 asp-case-investigator-zh agent 运行以 case 为主导的调查，并总结最有用的发现和下一步 pivot。"
+  <commentary>
+  这应该触发，因为请求明确以 case 为主导并要求调查，而不是单个对象查询。
+  </commentary>
+  </example>
+
+  <example>
+  Context: 用户要求对 case 进行分诊，可能需要收集相关证据。
+  user: "请审查这个 case，检查是否有足够证据推进它。"
+  assistant: "我将使用 asp-case-investigator-zh agent 审查 case，拉取最相关的周边上下文，并推荐下一步。"
+  <commentary>
+  这应该触发，因为用户想要协调的 case 审查加上面向证据的后续，这符合编排 agent。
+  </commentary>
+  </example>
+
+  <example>
+  Context: 用户要求理解一个 case，但没有明确命名所有支持层。
+  user: "帮我理解 case 883。"
+  assistant: "我将使用 asp-case-investigator-zh agent 分析 case，并在有用时拉入相关 alert、artifact 和证据上下文。"
+  <commentary>
+  这应该主动触发，因为用户的措辞是广泛的、面向调查的，所以 agent 应该编排周边层。
+  </commentary>
+  </example>
+model: inherit
+color: blue
+---
+
+你是 ASP 平台的精英 SOC 调查编排者，专门从事以 case 为主导的调查工作流。
+
+你的工作是把 case 作为主要调查视图，然后只有在能改善分析师理解或决策时，才选择性地从其他 ASP 层拉取支持上下文。
+
+核心职责：
+
+1. 审查目标 case 并解释已知内容。
+2. 当能锐化 case 叙事时，拉取相关 alert 上下文。
+3. 只有当具体 IOC 或对象级后续有用时，才 pivot 到 artifact。
+4. 当 case 需要确认、范围界定、流行度或时间线扩展时，请求 SIEM 证据收集。
+5. 当可复用指导、先前模式或内部上下文可能有帮助时，检查 knowledge。
+6. 当结构化发现足够成熟可以保存时推荐 enrichment，并且只有当用户明确想保存结果时才持久化。
+7. 只有当自动化或外部协调在操作上合理时，才建议 playbook 或 ticket 后续。
+
+操作边界：
+
+- 你是一个读取、分析和编排 agent，而不是广泛的代码编写或 schema 发明 agent。
+- 不要假装存在直接图遍历、隐藏关系或不受支持的工具。
+- 不要假设超出当前 ASP skill 实际暴露的父子关系。
+- 通过现有 ASP skill 路由对象操作和持久化，而不是发明新工作流。
+- 优先选择最少有用的 pivot 集。不要默认扇出到每一层。
+- 如果缺少必需的标识符或时间范围，停止并只报告所需的最窄缺失输入。
+
+要编排的主要 skill：
+
+- `asp-case-zh` 用于 case 审查、case 讨论、通过 correlation 上下文的相关 alert，以及 case playbook/ticket 操作。
+- `asp-alert-zh` 用于当相关 alert 需要更近的分诊上下文时的聚焦 alert 审查。
+- `asp-artifact-zh` 用于当具体 pivot 对象重要时的 IOC 级查询或 artifact 创建/附加上下文。
+- `asp-siem-zh` 用于证据检索、范围界定、流行度检查和时间线扩展。
+- `asp-knowledge-zh` 用于可复用的内部指导或先前分析上下文。
+- `asp-enrichment-zh` 用于持久化结构化发现。
+- `asp-playbook-zh` 用于当自动化相关时检查可用自动化或运行历史。
+- `asp-ticket-zh` 仅当明确需要外部协调时。
+
+调查流程：
+
+1. 使用 case skill 从 case 开始。
+    - 首先检索 case。
+    - 构建状态、严重性、verdict、confidence、时间线、分析师/AI 备注和明显差距的简明图景。
+2. 决定是否需要相关 alert 上下文。
+    - 当仅 case 摘要不能解释触发调查的原因、触发了什么检测或哪些实体重要时，拉取 alert 上下文。
+    - 如果通过支持的 case pivot 存在相关 alert，只总结最相关的。
+3. 识别 pivot 候选。
+    - 提取 case 或相关 alert 中已经可见的最高信号 artifact 或实体。
+    - 首先只 pivot 到最有用的一两个候选。
+    - 如果没有具体 pivot 对象，就这样说并停留在 case 层。
+4. 决定 SIEM 是否合理。
+    - 当调查需要确认、周边活动、时间线扩展或流行度时使用 SIEM。
+    - 如果 case 已经包含足够证据回答用户问题，不要强制 SIEM。
+    - 如果 SIEM 需要时间范围但没有可用的，停止并报告所需的最窄可行范围。
+5. 决定 knowledge 查询是否合理。
+    - 当模式、alert 类型、技术或环境特定处理可能已经存在时使用 knowledge。
+    - 优先选择相关 knowledge 的小候选列表而不是广泛检索。
+6. 决定发现是否足够成熟可以 enrichment。
+    - 当你有值得保存的结构化结论时推荐 enrichment。
+    - 只有当用户明确要求保存结果或请求明确包含保存操作时才持久化 enrichment。
+7. 推荐后续操作。
+    - 当自动化可用且合适时建议 playbook。
+    - 当明确需要跨团队或外部协调时建议 ticketing。
+    - 保持推荐基于当前证据和可见平台边界。
+
+决策框架：
+
+- Case 优先。
+- 如果需要，Alert 上下文第二。
+- 只有当具体时才 Artifact pivot。
+- 只有当证据收集增加价值时才 SIEM。
+- 只有当可复用上下文可能改变调查时才 Knowledge。
+- 当发现值得保存时 Enrichment。
+- 只有当操作合理时才 Playbook 或 ticket 后续。
+
+回答前的质量检查：
+
+- 你是否真正回答了用户的 case 问题，而不只是重述字段？
+- 你是否避免假装不受支持的关系或隐藏工具存在？
+- 你是否将 pivot 限制在最高信号的？
+- 你是否区分了已知事实、推断结论和推荐的下一步？
+- 你是否清楚地提到了阻塞或缺失输入？
+
+首选输出格式：
+
+- `Case Understanding`：关于 case 似乎代表什么的一个简短段落。
+- `Current Signals`：从 case 和相关 alert 上下文已知的关键事实。
+- `Useful Pivots`：最相关的 artifact 或实体 pivot，仅当受支持时。
+- `Evidence Gaps or SIEM Needs`：仍需确认或范围界定的内容。
+- `Knowledge or Reuse Clues`：仅当检查了相关 knowledge 时。
+- `Recommended Next Step`：一到三个具体操作，仅当合理时包括 enrichment、playbook 或 ticket 后续。
+
+边缘情况处理：
+
+- 如果找不到 case，直接说。
+- 如果通过当前支持的 pivot 无法获得相关 alert 上下文，说明这一点并继续已知内容。
+- 如果没有足够具体的 artifact pivot，不要发明一个。
+- 如果用户在没有足够证据的情况下要求最终判定，解释 confidence 差距。
+- 如果用户要求的操作属于较低层 skill，编排该 skill 而不是重写工作流。
+
+成功标准：
+产生简明、分析师可用的调查更新，保持 case 为中心，只添加最有用的支持上下文，并以基于当前 ASP 能力的清晰下一步操作结束。

PLUGINS/ClaudeCode/skills/asp-alert-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-alert
+name: asp-alert-en
 description: 'Review ASP alerts, update AI triage, create and attach new artifacts, inspect alert discussions, or attach enrichment to alerts.'
 argument-hint: 'review alert <alert_id> | list alerts [filters] | update alert <alert_id> <fields> | append artifact to alert <alert_id>'
 compatibility: connect to asp mcp server
@@ -36,7 +36,7 @@ Use this skill for alert-centric SOC work on ASP.
 - For append actions, confirm the target alert ID and the minimum required payload before writing.
 - For attachment flows, distinguish between creating a new related record and reusing an existing one. Attach tools need
   the related record row ID.
-- If the user wants to save structured analysis back onto the alert, use the `asp-enrichment` skill.
+- If the user wants to save structured analysis back onto the alert, use the `asp-enrichment-en` skill.
 
 ## Decision Flow
 
@@ -48,7 +48,7 @@ Use this skill for alert-centric SOC work on ASP.
 5. If the user asks to add an IOC, host, user, URL, or hash to the alert, first call `create_artifact` for a new
    artifact or locate an existing artifact row ID, then call
    `attach_artifact_to_alert(alert_id=<alert_id>, artifact_rowid=<artifact_rowid>)`.
-6. If the user asks to attach analysis results, intel, or structured context to the alert, use the `asp-enrichment`
+6. If the user asks to attach analysis results, intel, or structured context to the alert, use the `asp-enrichment-en`
    skill.
 
 ## SOP

PLUGINS/ClaudeCode/skills/asp-alert-zh/SKILL.md

@@ -0,0 +1,113 @@
+---
+name: asp-alert-zh
+description: '审查 ASP 告警、更新 AI 分析字段、查看告警讨论，或把 enrichment 附加到告警。'
+argument-hint: 'review alert <alert_id> | list alerts [filters] | update alert <alert_id> <fields>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ alert-management, soc, triage, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Alert
+
+当用户要围绕 ASP 告警开展 SOC 分析工作时，使用这个 skill。
+
+## 适用场景
+
+- 用户给出一个告警 ID，希望快速查看、审查或总结。
+- 用户希望按状态、严重级别、置信度或 correlation UID 查找告警。
+- 用户想查看某条告警的分析讨论内容。
+- 用户想更新告警上的 AI 分析字段。
+- 用户想在分析后把 enrichment 附加到告警。
+
+## 运行规则
+
+- 如果用户请求已经隐含了操作，不要反问用户想做哪一种。
+- 只补充收集缺失的必要输入。
+- 回复要聚焦于分诊价值，而不是原样回显 schema 字段。
+- 更新时只修改用户明确要求修改的字段。
+
+## 决策流程
+
+1. 如果用户提供了具体告警 ID，或要求“open”“show”“review”“summarize”某条告警，调用 `list_alerts(alert_id=<id>, limit=1)`。
+2. 如果用户要求讨论上下文，在取回告警后调用 `get_alert_discussions(alert_id)`。
+3. 如果用户要浏览或对比多条告警，使用带支持过滤条件的 `list_alerts`。
+4. 如果用户要更新 AI severity、AI confidence 或 AI comment，调用 `update_alert`。
+5. 如果用户要附加分析结果、情报或结构化上下文，使用 `asp-enrichment-zh` skill。
+
+## SOP
+
+### 审查单条告警
+
+1. 调用 `list_alerts(alert_id=<id>, limit=1)`。
+2. 如果结果为空，直接说明找不到该告警。
+3. 解析第一条 JSON 记录。
+4. 如果用户要求分析讨论上下文，调用 `get_alert_discussions(alert_id)`。
+5. 只呈现最有价值的分诊字段。
+
+首选回复结构：
+
+- `Alert`：alert ID、标题或名称、严重级别、状态、置信度、correlation UID。
+- `Timeline`：存在时给出创建或更新时间。
+- `Key Context`：来源、规则、类别、负责人或其他高信号字段。
+- `Discussions`：只在需要时给出最相关的分析或系统备注。
+- `Assessment`：简短分诊判断。
+
+### 列出告警
+
+1. 提取支持的过滤字段：`alert_id`、`status`、`severity`、`confidence`、`correlation_uid`、`limit`。
+2. 在调用 MCP 前，把自然语言过滤条件规范化。
+3. 调用 `list_alerts`。
+4. 解析返回的 JSON 字符串。
+5. 以紧凑对比视图呈现。
+
+首选回复结构：
+
+| Alert ID | Severity | Status | Confidence | Correlation UID | Summary |
+|----------|----------|--------|------------|-----------------|---------|
+
+然后在需要时补一句简短解释。
+
+### 更新告警 AI 字段
+
+1. 要求提供 `alert_id`。
+2. 只提取支持的 AI 字段：`severity_ai`、`confidence_ai`、`comment_ai`。
+3. 仅带变更字段调用 `update_alert`。
+4. 如果结果为 `None`，说明找不到该告警。
+5. 只确认实际修改的字段。
+
+### 给告警追加 Artifact
+
+1. 要求提供 `alert_id`。
+2. 如果用户要创建新 artifact，先收集最小必要字段：通常是 `value`，以及在可能时补充 `name`、`type` 或 `role`。
+3. 对于新 artifact，调用 `create_artifact` 并保留返回的 artifact row ID。
+4. 对于已有 artifact，先取回它并保留对应 row ID。
+5. 调用 `attach_artifact_to_alert(alert_id=<alert_id>, artifact_rowid=<artifact_rowid>)`。
+6. 确认 artifact 已附加成功。
+7. 如果该 artifact 还需要上下文，建议下一步为 artifact 或告警创建 enrichment。
+
+## 澄清规则
+
+- 只有在缺少告警相关操作所需参数时才询问 `alert_id`。
+- 只有当请求值不能清晰映射到 ASP 枚举时，才要求用户澄清枚举值。
+- 如果用户说“降低 confidence”“提高 severity”或“留个备注”，在意图明确时直接映射到对应 AI 字段。
+- 如果用户要添加 artifact 但未提供 artifact 值，先询问 artifact 值。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出原始 JSON。
+- 优先使用分诊语义，而不是 schema 语义。
+- 如果同时用了告警数据和讨论内容，要合并成一个连贯视图。
+- 清楚指出阻塞项：告警不存在、不支持的过滤条件、无效枚举值，或不完整的追加载荷。
+
+## 失败处理
+
+- 如果告警不存在，直接说明。
+- 如果过滤无结果，直接说明并建议最有用的收敛方式。
+- 如果请求更新的字段不受支持，明确指出哪些告警字段是可写的。
+- 如果 enrichment 或 artifact 输入不完整，只问一个聚焦问题，不要猜测。

PLUGINS/ClaudeCode/skills/asp-artifact-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-artifact
+name: asp-artifact-en
 description: 'Find artifacts by IOC, create new artifacts, attach artifacts to alerts, or save enrichment on artifacts.'
 argument-hint: 'review artifact <artifact_id> | list artifacts [filters] | create artifact <value> | attach artifact to alert <alert_id> | enrich artifact <artifact_id>'
 compatibility: connect to asp mcp server
@@ -34,7 +34,7 @@ Use this skill for artifact-centric investigation work on ASP.
 - Use `attach_artifact_to_alert` only after you already have an artifact row ID.
 - Use `create_enrichment` plus `attach_enrichment_to_target` when the user wants to save analysis on the artifact
   itself.
-- For detailed enrichment persistence workflow, use the `asp-enrichment` skill.
+- For detailed enrichment persistence workflow, use the `asp-enrichment-en` skill.
 - Keep artifact responses short and investigation-oriented.
 
 ## Decision Flow
@@ -43,7 +43,7 @@ Use this skill for artifact-centric investigation work on ASP.
 2. If the user asks to create a new artifact, call `create_artifact`.
 3. If the user asks to add an artifact to an alert, first call `create_artifact` when needed or retrieve an existing
    artifact row ID, then call `attach_artifact_to_alert`.
-4. If the user asks to attach intel, analyst notes, or structured analysis to an artifact, use the `asp-enrichment`
+4. If the user asks to attach intel, analyst notes, or structured analysis to an artifact, use the `asp-enrichment-en`
    skill.
 5. If the user is investigating from an artifact, use the artifact as a pivot and suggest the next useful hop only when
    needed.

PLUGINS/ClaudeCode/skills/asp-artifact-zh/SKILL.md

@@ -0,0 +1,102 @@
+---
+name: asp-artifact-zh
+description: '按 IOC 查找 artifact、创建新 artifact、把 artifact 附加到告警，或为 artifact 保存 enrichment。'
+argument-hint: 'review artifact <artifact_id> | list artifacts [filters] | create artifact <value> | attach artifact to alert <alert_id> | enrich artifact <artifact_id>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ artifact, pivot, enrichment, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Artifact
+
+当用户要围绕 artifact 进行调查分析时，使用这个 skill。
+
+## 适用场景
+
+- 用户想按 value、type、role、owner 或 reputation 查找 artifact。
+- 用户想创建新的 artifact 记录。
+- 用户想把新创建的 artifact 附加到告警。
+- 用户已经有 artifact row ID，想把现有 artifact 附加到告警。
+- 用户想给 artifact 附加 enrichment 或结构化分析。
+
+## 运行规则
+
+- 把 artifact 视为平台里的最小 pivot 对象。
+- 如果用户请求已经隐含操作，不要反问用户要哪种操作。
+- 只收集缺失的必要输入。
+- 查询和审查时使用 `list_artifacts`。
+- 用户要新增 artifact 记录时，使用 `create_artifact`。
+- 只有在已经拿到 artifact row ID 后，才使用 `attach_artifact_to_alert`。
+- 如果用户想把分析结果保存到 artifact 本身，使用 `create_enrichment` 加 `attach_enrichment_to_target`。
+- 如需完整的 enrichment 持久化流程，使用 `asp-enrichment-zh` skill。
+- artifact 回复保持简短，并以调查为导向。
+
+## 决策流程
+
+1. 如果用户要查找或审查 artifact，调用 `list_artifacts`。
+2. 如果用户要创建新 artifact，调用 `create_artifact`。
+3. 如果用户要把 artifact 加到告警，视情况先调用 `create_artifact` 或先找到现有 artifact row ID，然后调用 `attach_artifact_to_alert`。
+4. 如果用户要为 artifact 附加情报、分析笔记或结构化分析，使用 `asp-enrichment-zh` skill。
+5. 如果用户正从 artifact 出发进行调查，把 artifact 作为 pivot，只在必要时建议下一个最有价值的跳转点。
+
+## SOP
+
+### 列出 Artifact
+
+1. 从请求中提取最窄且最有用的过滤条件。
+2. 调用 `list_artifacts`。
+3. 解析返回的 JSON 字符串。
+4. 以紧凑的 artifact 视图呈现；如果用户大概率下一步要附加或复用该 artifact，则显式展示 artifact row ID。
+
+首选回复结构：
+
+| Artifact ID | Value | Type | Role | Owner | Reputation | Summary |
+|-------------|-------|------|------|-------|------------|---------|
+
+然后在需要时补一句简短解释。
+
+### 创建 Artifact
+
+1. 收集最少但足够有用的 artifact 信息。
+2. 调用 `create_artifact`。
+3. 确认创建后的 artifact row ID。
+4. 如果该 artifact 应该归属于某条告警，建议下一步附加到告警。
+
+首选回复结构：
+
+- `Artifact`：创建出的 artifact row ID
+- `Value`：在有必要时给出主要 artifact 值
+- `Next useful step`：可选，通常是附加到告警或继续 enrich
+
+### 把 Artifact 附加到告警
+
+1. 要求提供 `alert_id`。
+2. 如果用户还没有 artifact row ID，则先为新 artifact 调用 `create_artifact`，或先取回已有 artifact。
+3. 调用 `attach_artifact_to_alert(alert_id=<alert_id>, artifact_rowid=<artifact_rowid>)`。
+4. 确认 artifact 已附加成功。
+
+## 澄清规则
+
+- 只有当用户要附加到告警却没提供时，才询问 `alert_id`。
+- 只有当用户要 enrich 现有 artifact 却未提供时，才询问 `artifact_id`。
+- 如果用户只想新增 artifact，但没有明确表示要附加到哪里，就只创建 artifact，不要擅自假设父对象。
+- 如果用户想做 pivot 但没有指定具体工具路径，先从 artifact 审查开始，再建议下一跳。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出原始 JSON。
+- 优先使用 pivot 语义，而不是存储语义。
+- 当匹配的 artifact 很多时，展示最有价值的一小部分，并简要说明整体模式。
+
+## 失败处理
+
+- 如果没有匹配的 artifact，直接说明，并建议最有用的收敛方式。
+- 如果目标告警不存在，直接说明。
+- 如果目标 artifact 不存在，直接说明。
+- 如果 enrichment 请求信息不完整，只问一个聚焦问题，不要猜测。

PLUGINS/ClaudeCode/skills/asp-case-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-case
+name: asp-case-en
 description: 'Manage ASP security cases. Use when users ask to review a case, list cases, inspect case discussions, check related alerts or playbook runs for a case, or update case workflow and AI analysis fields.'
 argument-hint: 'review case <case_id> | list cases [filters] | update case <case_id> <fields> | run playbook for case <case_id> <playbook_name>'
 compatibility: connect to asp mcp server
@@ -41,7 +41,7 @@ Use this skill for case-centric SOC work on ASP.
   `get_case` tool.
 - Keep case as the primary user view. Pull alerts, discussions, or playbook runs only when they help answer the case
   question.
-- If the user wants to save structured analysis back onto the case, use the `asp-enrichment` skill.
+- If the user wants to save structured analysis back onto the case, use the `asp-enrichment-en` skill.
 
 ## Decision Flow
 
@@ -53,7 +53,7 @@ Use this skill for case-centric SOC work on ASP.
 4. If the user wants case automation status, call `list_playbook_runs(source_id=case_id, type=[CASE])`.
 5. If the user wants to run automation on the case, use `list_available_playbook_definitions` only when the playbook
    name is missing, then call `execute_playbook(type=CASE, record_id=case_id, name=...)`.
-6. If the user asks to attach enrichment or structured analysis to the case, use the `asp-enrichment` skill.
+6. If the user asks to attach enrichment or structured analysis to the case, use the `asp-enrichment-en` skill.
 7. If the user asks to attach an external ticket to the case, first call `create_ticket`, then call
    `attach_ticket_to_case(case_id=<case_id>, ticket_rowid=<created_rowid>)`.
 8. If the user asks to find, browse, or compare cases, use `list_cases`.

PLUGINS/ClaudeCode/skills/asp-case-zh/SKILL.md

@@ -0,0 +1,181 @@
+---
+name: asp-case-zh
+description: '管理 ASP 安全 case。适用于审查 case、列出 case、查看 case 讨论、检查 case 相关告警或 playbook run，或更新 case 工作流和 AI 分析字段。'
+argument-hint: 'review case <case_id> | list cases [filters] | update case <case_id> <fields> | run playbook for case <case_id> <playbook_name>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.3.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ case-management, soc, triage, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Case
+
+当用户要以 case 为中心开展 SOC 工作时，使用这个 skill。
+
+## 适用场景
+
+- 用户给出一个 case ID，希望查看、分诊或快速总结。
+- 用户希望按状态、严重级别、置信度、verdict、correlation UID、标题或标签查找 case。
+- 用户想查看 case 的讨论上下文。
+- 用户想从 case 视角检查相关告警或 playbook run。
+- 用户想更新 case 工作流字段或 AI 分析字段。
+- 用户想把 enrichment 或结构化分析附加到 case。
+- 用户想把外部 ticket 记录附加到 case。
+- 用户想对 case 执行 playbook。
+
+## 运行规则
+
+- 如果请求已经隐含操作，不要先问用户想执行什么。
+- 只补充收集缺失的必要输入。
+- 当用户请求足够具体时优先使用一次 MCP 调用；但如果用户要真正的 case 审查，可以使用简短的多步流程。
+- 除非为了澄清枚举值或缺失输入，不要把 MCP 字段定义原样回显给用户。
+- 总结 case 数据时要服务于行动判断，而不是输出原始 schema。
+- 如果更新请求有歧义，先问一个聚焦问题再写入。
+- 更新后只确认实际变更的字段。
+- 查询单个 case 时，使用 `list_cases(case_id=...)`，因为当前 MCP surface 没有单独的 `get_case` 工具。
+- 保持 case 作为用户的主要视图。只有在能帮助回答 case 问题时，才拉取相关告警、讨论或 playbook run。
+- 如果用户想把结构化分析保存回 case，使用 `asp-enrichment-zh` skill。
+
+## 决策流程
+
+1. 如果用户提供了具体 case ID，或说要“open”“show”“review”“summarize”某个 case，调用 `list_cases(case_id=<id>, limit=1)`。
+2. 如果用户想看讨论历史或分析上下文，在取回 case 后调用 `get_case_discussions`。
+3. 如果用户想看相关告警，上下文可以通过 case 的 `correlation_uid` 进行 pivot，并在有助于回答 case 问题时调用 `list_alerts`。
+4. 如果用户想看 case 自动化状态，调用 `list_playbook_runs(source_id=case_id, type=[CASE])`。
+5. 如果用户想在 case 上运行自动化，但没有提供 playbook 名称，仅在名称缺失时调用 `list_available_playbook_definitions`，然后调用 `execute_playbook(type=CASE, record_id=case_id, name=...)`。
+6. 如果用户要把 enrichment 或结构化分析附加到 case，使用 `asp-enrichment-zh` skill。
+7. 如果用户要把外部 ticket 附加到 case，先调用 `create_ticket`，再调用 `attach_ticket_to_case(case_id=<case_id>, ticket_rowid=<created_rowid>)`。
+8. 如果用户要查找、浏览或对比 case，使用 `list_cases`。
+9. 如果用户要修改 status、verdict、severity 或 AI 字段，使用 `update_case`。
+10. 如果用户要更新 case 但没提供 case ID，询问 case ID。
+11. 如果用户给出了多个过滤条件，只应用 ASP 直接支持的部分，并明确说明不支持的过滤条件。
+
+## SOP
+
+### 审查单个 Case
+
+1. 调用 `list_cases(case_id=<id>, limit=1)`。
+2. 如果结果为空，直接说明找不到该 case。
+3. 解析第一条 JSON 记录。
+4. 如果用户想看分析上下文，调用 `get_case_discussions(case_id)`。
+5. 如果 case 中有有用的 `correlation_uid`，且用户需要相关告警上下文，则用它做 pivot 调用 `list_alerts(correlation_uid=...)`。
+6. 如果用户想确认自动化是否运行或仍在等待，调用 `list_playbook_runs(source_id=case_id, type=[CASE])`。
+7. 只展示与用户请求最相关的部分。
+8. 只有在确实影响用户目标时，才强调缺失字段或可疑字段。
+
+首选回复结构：
+
+- `Case`：case ID、标题、严重级别、状态、verdict、confidence、priority、category。
+- `Timeline`：创建、acknowledged、closed，以及存在时的 start/end。
+- `Key Alerts`：只列最相关的告警，不默认列全。
+- `Discussions`：仅在相关时给出关键分析或系统讨论点。
+- `Playbook Runs`：仅在相关时给出当前或最近运行记录。
+- `Analyst / AI Notes`：在相关时给出 comment、summary 和 AI 字段。
+
+当用户问“发生了什么”或“帮我理解这个 case”时，先给一段简短分析性总结，再给结构化细节。
+
+### 列出 Case
+
+1. 提取支持的过滤字段：`case_id`、`status`、`severity`、`confidence`、`verdict`、`correlation_uid`、`title`、`tags`、`limit`。
+2. 如果用户给出逗号分隔或自然语言列表，在调用 MCP 前先规范化。
+3. 调用 `list_cases`。
+4. 解析返回的 JSON 字符串。
+5. 以紧凑对比视图呈现。
+6. 如果结果很多，建议下一步最有价值的过滤条件，而不是直接倾倒大量结果。
+
+首选回复结构：
+
+| Case ID | Title | Severity | Status | Verdict | Confidence | Priority | Updated |
+|---------|-------|----------|--------|---------|------------|----------|---------|
+
+然后在需要时补一句简短解释，例如：
+
+- “Most matching cases are still in progress.”
+- “High-severity cases are concentrated in one category.”
+- “No matching cases were found.”
+
+### 在 Case 上运行 Playbook
+
+1. 要求提供 `case_id`。
+2. 如果用户没有指定 playbook definition 名称，调用 `list_available_playbook_definitions`，并给出最相关选项，而不是猜测。
+3. 调用 `execute_playbook(type=CASE, record_id=case_id, name=<definition_name>, user_input=<optional>)`。
+4. 确认已创建一条待执行的 playbook run 记录。
+5. 如果用户还想继续追踪状态，调用 `list_playbook_runs(source_id=case_id, type=[CASE])`。
+
+首选回复结构：
+
+- `Case`：case ID
+- `Playbook`：definition 名称
+- `Run status`：创建时通常为 pending
+- `User input`：仅在提供时展示
+- `Next useful step`：可选，通常是查询 case 相关 run
+
+### 把 Ticket 附加到 Case
+
+1. 要求提供 `case_id`。
+2. 收集用户要同步的外部 ticket 详情。
+3. 调用 `create_ticket` 并保留返回的 ticket row ID。
+4. 调用 `attach_ticket_to_case(case_id=<case_id>, ticket_rowid=<created_rowid>)`。
+5. 确认 ticket 已创建并附加到 case。
+
+首选回复结构：
+
+- `Case`：case ID
+- `Ticket`：创建出的 ticket row ID，必要时也可给出外部 ticket 标识
+- `Attachment`：已附加到 case
+- `Next useful step`：可选，通常是重新查看 case 或稍后更新同步 ticket
+
+### 更新 Case
+
+1. 要求提供 `case_id`。
+2. 只提取用户明确要求修改的字段。
+3. 在调用 MCP 前校验请求里的枚举值。
+4. 仅携带变更字段调用 `update_case`。
+5. 如果结果为 `None`，说明找不到该 case。
+6. 用简短变更记录风格确认更新结果。
+7. 如果用户可能还要核实结果，建议重新获取 case。
+
+常见可更新字段：
+
+- `severity`
+- `status`
+- `verdict`
+- `severity_ai`
+- `confidence_ai`
+- `attack_stage_ai`
+- `comment_ai`
+- `summary_ai`
+
+首选回复结构：
+
+- `Updated case`：case ID 或返回的 row ID
+- `Changed fields`：只列实际提交的字段
+- `Next useful step`：可选，通常是 `list_cases(case_id=..., limit=1)` 以查看刷新后的记录
+
+## 澄清规则
+
+- 只有在缺失时才询问 `case_id`。
+- 只有当请求值无法清晰映射到 ASP 枚举时，才要求用户澄清。
+- 如果用户要求“close”“resolve”或“mark suspicious”，在意图明确时可以直接映射到对应 status 或 verdict。
+- 如果用户要对 case 执行自动化但没给 playbook 名称，展示可用 definitions，而不是猜一个。
+- 如果用户给出的是广义审查请求，比如“show recent important cases”，先从 `list_cases` 开始，不要强迫用户先选操作。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出原始 JSON。
+- 优先使用面向分析师的措辞，而不是 schema 措辞。
+- 表格保持精简；当匹配很多时，展示最有价值的子集并说明总量。
+- 如果一次审查用了多个 MCP 调用，要把结果合并成一个连贯的 case 叙事，而不是逐个调用回显。
+- 明确指出阻塞项：case 不存在、不支持的过滤条件、无效枚举值。
+
+## 失败处理
+
+- 如果 case 不存在，直接说明。
+- 如果过滤无结果，直接说明并建议最可能有用的收敛方式。
+- 如果 playbook definition 名称和现有 definitions 不匹配，直接说明并给出最接近的可选项。
+- 如果更新目标不明确，只问一个聚焦问题，不要猜测。

PLUGINS/ClaudeCode/skills/asp-enrichment-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-enrichment
+name: asp-enrichment-en
 description: 'Save structured analysis results as enrichment and attach them to a case, alert, or artifact.'
 argument-hint: 'create enrichment for <case|alert|artifact> <target_id> | attach enrichment to <case|alert|artifact> <target_id>'
 compatibility: connect to asp mcp server

PLUGINS/ClaudeCode/skills/asp-enrichment-zh/SKILL.md

@@ -0,0 +1,84 @@
+---
+name: asp-enrichment-zh
+description: '把结构化分析结果保存为 enrichment，并附加到 case、alert 或 artifact。'
+argument-hint: 'create enrichment for <case|alert|artifact> <target_id> | attach enrichment to <case|alert|artifact> <target_id>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ enrichment, analysis, context, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Enrichment
+
+当分析结果需要以结构化上下文形式保存回 ASP 时，使用这个 skill。
+
+## 适用场景
+
+- 用户想保存结构化分析、情报或调查结论。
+- 用户想把上下文附加到 case、alert 或 artifact。
+- 用户想持久化 SIEM 发现、威胁情报、资产上下文或分析师结论。
+- 用户已经有 enrichment，希望把它复用并附加到目标对象。
+
+## 运行规则
+
+- 把 enrichment 视为平台的结构化结果层，而不是普通评论字段。
+- 当目标是把分析结果持久化到 `case`、`alert` 或 `artifact` 上时，使用这个 skill。
+- 区分“创建 enrichment”和“附加 enrichment”两个动作。
+- 新结果记录使用 `create_enrichment`。
+- 只有在已经拿到 enrichment row ID 后，才使用 `attach_enrichment_to_target`。
+- enrichment payload 保持紧凑且可操作。
+- 查看对象本身时优先使用对象对应的 skill；保存结果时再使用本 skill。
+
+## 决策流程
+
+1. 如果用户想保存新的结构化结果，先调用 `create_enrichment`。
+2. 如果用户想把结果附加到 case、alert 或 artifact，调用 `attach_enrichment_to_target`。
+3. 如果用户已经有现成的 enrichment row ID，跳过创建，直接附加。
+4. 如果用户还处于对象探索阶段而不是保存结果，先使用对应对象 skill。
+
+## SOP
+
+### 创建并附加新的 Enrichment
+
+1. 要求提供 `target_type` 和 `target_id`。
+2. 把用户的分析整理成紧凑的结构化 enrichment payload。
+3. 调用 `create_enrichment` 并保留返回的 enrichment row ID。
+4. 调用 `attach_enrichment_to_target(target_type=<target_type>, target_id=<target_id>, enrichment_rowid=<created_rowid>)`。
+5. 确认 enrichment 已创建并附加成功。
+
+首选回复结构：
+
+- `Target`：目标类型和目标 ID
+- `Enrichment`：创建出的 enrichment row ID
+- `Attachment`：已附加到目标
+- `Next useful step`：可选，通常是继续调查、查看 enrich 后的对象，或继续自动化处理
+
+### 附加已有 Enrichment
+
+1. 要求提供 `target_type`、`target_id` 和 `enrichment_rowid`。
+2. 调用 `attach_enrichment_to_target(target_type=<target_type>, target_id=<target_id>, enrichment_rowid=<enrichment_rowid>)`。
+3. 确认 enrichment 已附加成功。
+
+## 澄清规则
+
+- 只有在缺失时才询问 `target_type` 和 `target_id`。
+- 只有当用户要复用现有 enrichment 且未提供时，才询问 enrichment row ID。
+- 如果用户只说“把这个结果保存一下”，在上下文明确时推断最明显的目标对象。
+- 如果用户要保存的是备注而非严格结构化结果，只要内容本质上是调查上下文，仍优先使用 enrichment。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出原始 JSON。
+- 优先使用面向分析师的措辞，而不是存储层措辞。
+- 明确说明保存了什么、附加到了哪里，以及它为什么有用。
+
+## 失败处理
+
+- 如果目标对象不存在，直接说明。
+- 如果 enrichment payload 不完整，只问一个聚焦问题，不要猜测。
+- 如果附加失败是因为缺少 enrichment row ID，就要求用户提供，或先创建新的 enrichment。

PLUGINS/ClaudeCode/skills/asp-knowledge-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-knowledge
+name: asp-knowledge-en
 description: 'Find internal guidance for a case or alert, check whether knowledge already exists, or update existing ASP knowledge records.'
 argument-hint: 'search knowledge [filters] | update knowledge <knowledge_id> <fields>'
 compatibility: connect to asp mcp server

PLUGINS/ClaudeCode/skills/asp-knowledge-zh/SKILL.md

@@ -0,0 +1,91 @@
+---
+name: asp-knowledge-zh
+description: '查找 case 或 alert 相关的内部知识，检查是否已有知识记录，或更新 ASP knowledge 记录。'
+argument-hint: 'search knowledge [filters] | update knowledge <knowledge_id> <fields>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ knowledge, memory, rag, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Knowledge
+
+当用户要在 ASP 中检索或维护内部知识时，使用这个 skill。
+
+## 适用场景
+
+- 用户想按标题、正文、标签、action、source 或使用状态查找已有内部知识。
+- 用户想确认某条知识是否还应继续启用或应被移除。
+- 用户想更新知识记录的内容、标签或生命周期状态。
+- 用户想在决定下一步 case、alert 或 hunting 动作前，先查看可复用的分析师知识。
+
+## 运行规则
+
+- 把它视为知识检索与维护工具，而不是通用聊天记忆。
+- 优先使用最窄且最有用的过滤条件。
+- 如果用户给的是短语、症状或部分表述，优先使用模糊 title/body 匹配。
+- 如果用户按场景、技术或主题操作，优先使用 tags。
+- 更新时，只修改用户明确要求变更的字段。
+- 如果用户需要的是语义搜索而不是字段过滤，要明确说明当前 MCP surface 仍然是过滤导向。
+
+## 决策流程
+
+1. 如果用户要查找或浏览知识，使用最窄有用过滤条件调用 `list_knowledge`。
+2. 如果用户要修改已知记录的内容、状态、source、action 或 tags，调用 `update_knowledge`。
+3. 如果用户只是想知道某类知识是否已经存在，但只给了部分措辞，则先从模糊 `title` 和 `body` 过滤开始。
+4. 如果用户要管理生命周期或启用状态，优先使用 `action` 和 `using`，而不是发明新的工作流。
+
+## SOP
+
+### 搜索 Knowledge
+
+1. 提取支持的过滤条件：`action`、`source`、`using`、`title`、`body`、`tags`、`limit`。
+2. 当用户给出部分文本时，使用模糊 title/body 过滤。
+3. 当用户本质上是在按主题或场景查找时，使用 tags。
+4. 调用 `list_knowledge`。
+5. 解析返回的 JSON 字符串。
+6. 输出一个小而有用的候选列表，而不是所有字段全量展开。
+
+首选回复结构：
+
+| Knowledge ID | Title | Source | Action | Using | Tags |
+|--------------|-------|--------|--------|-------|------|
+
+然后在需要时补一句简短解释。
+
+### 更新 Knowledge
+
+1. 要求提供 `knowledge_id`。
+2. 只提取用户明确要求修改的字段：`title`、`body`、`using`、`action`、`source`、`tags`。
+3. 仅带变更字段调用 `update_knowledge`。
+4. 如果结果为 `None`，说明找不到该知识记录。
+5. 只确认实际变更的字段。
+
+首选回复结构：
+
+- `Updated knowledge`：knowledge ID 或返回的 row ID
+- `Changed fields`：只列本次请求实际提交的字段
+- `Next useful step`：可选，通常是查询类似知识，或用更窄的搜索验证更新结果
+
+## 澄清规则
+
+- 只有在用户要更新特定记录但未提供时，才询问 `knowledge_id`。
+- 只有当请求状态不能清晰映射到 `action` 或 `using` 时，才要求澄清生命周期语义。
+- 如果用户说“disable”“archive”或“stop using”某条 knowledge，优先澄清他们是想设 `using=false`、修改生命周期 `action`，还是两者都要。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出完整 knowledge body。
+- 优先使用可复用的分析师语义，而不是底层存储语义。
+- 当匹配记录很多时，展示最有价值的子集，并简要说明整体模式。
+
+## 失败处理
+
+- 如果没有匹配的 knowledge 记录，直接说明，并建议最可能有用的收敛方式。
+- 如果要更新的记录不存在，直接说明。
+- 如果请求的生命周期变更含义不清，只问一个聚焦问题，不要猜测。

PLUGINS/ClaudeCode/skills/asp-playbook-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-playbook
+name: asp-playbook-en
 description: 'Operate ASP playbook definitions and playbook run records. Use when users ask which playbooks can run, want to execute a playbook on a case, alert, or artifact, or want to inspect existing playbook runs.'
 argument-hint: 'list playbook definitions | run playbook <name> for <target_type> <target_id> | list playbook runs [filters]'
 compatibility: connect to asp mcp server

PLUGINS/ClaudeCode/skills/asp-playbook-zh/SKILL.md

@@ -0,0 +1,107 @@
+---
+name: asp-playbook-zh
+description: '操作 ASP playbook definition 和 playbook run 记录。适用于查看可运行的 playbook、对 case/alert/artifact 执行 playbook，或查看已有 playbook run。'
+argument-hint: 'list playbook definitions | run playbook <name> for <target_type> <target_id> | list playbook runs [filters]'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ playbook, automation, soar, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Playbook
+
+当用户要在 ASP 中处理 playbook 自动化时，使用这个 skill。
+
+## 适用场景
+
+- 用户想知道当前有哪些 playbook definition 可以运行。
+- 用户想对 case、alert 或 artifact 执行 playbook。
+- 用户想按目标对象、类型或 job status 查看 playbook run 记录。
+- 用户想确认某个目标对象是否已经执行过自动化。
+
+## 运行规则
+
+- 在语言和工作流层面，严格区分 playbook definition 与 playbook run record。
+- `list_available_playbook_definitions` 只用于查询可运行的 definition。
+- `list_playbook_runs` 只用于查询运行记录。
+- 只有当用户给出了可运行的 definition 名称和目标对象时，才使用 `execute_playbook`。
+- 不要编造 playbook definition 名称。如果名称缺失，先列出或建议可用 definitions。
+- 把 `user_input` 视为该次运行的自然语言补充说明，而不是通用聊天提示。
+
+## 决策流程
+
+1. 如果用户想知道哪些 playbook 可以运行，调用 `list_available_playbook_definitions`。
+2. 如果用户想确认某个 case、alert 或 artifact 是否执行过自动化，调用 `list_playbook_runs(source_id=<target_id>, type=[<target_type>])`。
+3. 如果用户要执行自动化，并已提供 definition 名称和目标对象，调用 `execute_playbook`。
+4. 如果用户想执行自动化但不知道 definition 名称，先调用 `list_available_playbook_definitions`。
+5. 如果用户要看整体自动化历史，使用最窄有用过滤条件调用 `list_playbook_runs`。
+
+## SOP
+
+### 列出可运行的 Playbook Definition
+
+1. 调用 `list_available_playbook_definitions`。
+2. 解析返回的 JSON。
+3. 只展示与用户目标对象或目标最相关的 definitions。
+4. 明确说明这些是 definitions，而不是 run records。
+
+首选回复结构：
+
+| Definition Name | Likely Target | Purpose |
+|-----------------|---------------|---------|
+
+### 运行一个 Playbook
+
+1. 要求提供 `target_type`、`target_id` 和 playbook definition `name`。
+2. 如果 definition 名称缺失或不确定，先调用 `list_available_playbook_definitions`。
+3. 只有在用户想提供额外指导时，才传 `user_input`。
+4. 调用 `execute_playbook(type=<target_type>, record_id=<target_id>, name=<definition_name>, user_input=<optional>)`。
+5. 确认已创建一条待执行的 playbook run 记录。
+
+首选回复结构：
+
+- `Target`：类型和 ID
+- `Playbook Definition`：选定的名称
+- `Run Status`：创建时通常为 pending，除非平台返回其他状态
+- `User Input`：仅在提供时展示
+- `Next Useful Step`：通常是继续查询相关 playbook run
+
+### 查看 Playbook Run
+
+1. 提取支持的过滤字段：`playbook_id`、`job_status`、`type`、`source_id`、`limit`。
+2. 当用户是从某个 case、alert 或 artifact 视角提问时，优先使用 `source_id`。
+3. 调用 `list_playbook_runs`。
+4. 解析返回的 JSON 字符串。
+5. 用简短的 run 视图呈现。
+
+首选回复结构：
+
+| Run ID | Type | Target ID | Job Status | Definition Name | Updated |
+|--------|------|-----------|------------|-----------------|---------|
+
+然后在需要时补一句简短解释。
+
+## 澄清规则
+
+- 只有在运行请求缺失时，才询问 `target_type` 和 `target_id`。
+- 只有在 definition 名称缺失或含糊时，才追问 playbook 名称。
+- 如果用户给出的名字更像 run ID 而不是 definition，执行前先澄清。
+- 如果用户说“check the run”但没有给 run ID，优先根据对象上下文用 `list_playbook_runs`，而不是猜某条具体 run。
+
+## 输出规则
+
+- 保持简洁。
+- 不要混淆 definition、run、record 和 target object 这些概念。
+- 如果只有少数 definitions 相关，不要把所有 playbook definition 全部倾倒出来。
+- 优先使用运维语义：哪些能运行、哪些已经运行、哪些还在 pending、下一步该检查什么。
+
+## 失败处理
+
+- 如果没有匹配的 playbook definition，直接说明并给出最接近的相关选项。
+- 如果目标对象没有任何 run 记录，直接说明。
+- 如果执行前置条件缺失，只问一个聚焦问题，不要猜测。
+- 如果用户的问题只能通过 run 记录回答，不要仅根据 definition 做回答。

PLUGINS/ClaudeCode/skills/asp-siem-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-siem
+name: asp-siem-en
 description: 'Investigate ASP SIEM data with schema exploration, keyword search, and adaptive field queries. Use when users ask to find the right index, inspect available fields, search logs by IOC, or run structured hunts with exact filters and aggregations.'
 argument-hint: 'explore schema [index] | search <keyword> from <UTC start> to <UTC end> | adaptive query <index_name> <time range> [filters] [aggregations]'
 compatibility: connect to asp mcp server

PLUGINS/ClaudeCode/skills/asp-siem-zh/SKILL.md

@@ -0,0 +1,166 @@
+---
+name: asp-siem-zh
+description: '通过 schema 探索、关键词搜索和自适应字段查询来调查 ASP SIEM 数据。适用于查找正确索引、检查可用字段、按 IOC 搜索日志，或用精确过滤和聚合运行结构化 hunt。'
+argument-hint: 'explore schema [index] | search <keyword> from <UTC start> to <UTC end> | adaptive query <index_name> <time range> [filters] [aggregations]'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.3.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ SIEM, search, SOC, hunting, investigation ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP SIEM
+
+当用户要在 ASP 中进行 SIEM 调查时，使用这个 skill。这个 skill 应该指导搜索策略和证据收集。
+
+## 适用场景
+
+- 用户想在搜索前先发现有哪些索引或字段。
+- 用户想按 IP、用户、主机、hash、域名、进程、邮箱或任意关键词搜索日志。
+- 用户想从 alert、artifact 或 case pivot 到 SIEM 证据。
+- 用户想要精确匹配过滤和 top-N 统计，而不是自由文本搜索。
+- 用户想收窄噪音搜索或扩展空结果。
+- 用户想要完整原始证据，而不只是高层计数。
+
+## 运行规则
+
+- 如果用户请求已经隐含 SIEM 搜索，不要反问用户要选哪种操作。
+- 只收集所选路径缺失的必要输入。
+- 把它视为调查工作流，而不是一次性查询助手。
+- 当用户不知道正确索引或字段时，使用 `siem_explore_schema`。
+- 当用户有一个或多个强关键词且需要匹配事件时，使用 `siem_keyword_search`。
+- 当用户已经知道目标索引且想要精确字段过滤或统计时，使用 `siem_adaptive_query`。
+- 如果用户给出相对时间窗口，先调用 `get_current_time`，从返回的本地时间加时区推导出可用的 UTC 范围。
+- 优化目标是有用证据，而不是最大原始输出。
+
+## 决策流程
+
+1. 如果用户问该用哪个索引、有哪些字段，或 SIEM 源如何组织，使用 `siem_explore_schema`。
+2. 如果用户已经提供关键词和时间范围，立即使用 `siem_keyword_search`。
+3. 如果用户给出相对时间窗口，调用 `get_current_time`，从返回的本地时间加时区推导出可用 UTC 范围，再继续。
+4. 如果用户只给了 IOC 或关键词，询问最窄可用的 UTC 时间范围。
+5. 如果用户想要精确字段过滤、分组统计或受控聚合，使用 `siem_adaptive_query`。
+6. 如果用户知道数据源，传 `index_name`；否则先广泛搜索或先探索 schema。
+7. 如果数据源可能使用非默认时间字段，询问它；否则使用 `@timestamp`。
+8. 每次搜索后，决定是停止、收窄、扩展，还是把有用结果写回为 enrichment。
+
+## SOP
+
+### 探索 Schema
+
+1. 如果用户不知道目标源，先调用 `siem_explore_schema()`。
+2. 如果用户已经知道索引且想要字段结构，调用 `siem_explore_schema(target_index=<index>)`。
+3. 解析返回的 JSON。
+4. 总结与调查目标最相关的索引、时间字段候选和高信号字段。
+5. 推荐下一步查询路径：关键词搜索或自适应查询。
+
+### 开始搜索
+
+1. 先提取已知最强关键词。
+2. 只有当用户真正要求所有条件都匹配时，才把多个关键词规范化为 AND 集合。
+3. 要求 UTC 时间戳以 `Z` 结尾。
+4. 调用 `siem_keyword_search`。
+5. 解析每条返回的 JSON 字符串。
+
+### 运行结构化 Hunt
+
+1. 要求 `index_name`、UTC 时间范围，以及至少一个精确过滤条件或明确聚合目标。
+2. 把过滤条件规范化为精确字段/值对。
+3. 只有当用户想要流行度、top-N 统计或分组范围时，才添加 `aggregation_fields`。
+4. 调用 `siem_adaptive_query`。
+5. 用分析师语言总结过滤范围和任何聚合输出。
+
+### 优化搜索
+
+首选优化动作：
+
+1. 在添加很多新关键词前，先收窄时间范围。
+2. 添加一两个高信号关键词，而不是很多弱关键词。
+3. 如果查询为空，移除一个限制性关键词。
+4. 当广泛搜索返回太多无关数据时，添加 `index_name`。
+5. 当用户已经学到足够字段结构可以停止使用关键词搜索时，切换到 `siem_adaptive_query`。
+6. 持续迭代直到结果质量匹配用户目标。
+
+### 调查模式
+
+在有帮助时使用这些模式：
+
+- `IOC pivot`：从一个 IOC 开始，然后从返回记录中添加主机、用户、进程或动作。
+- `Alert follow-up`：用告警 artifact 加告警时间窗口搜索，然后围绕首次和最后出现时间收紧。
+- `User activity check`：从用户名加窄时间范围开始，然后 pivot 到源 IP、主机和动作。
+- `Infrastructure pivot`：从 IP 或主机名开始，然后 pivot 到相关用户、进程和目标。
+
+### 停止条件
+
+满足以下任一条件时停止优化：
+
+- 用户只要求范围、趋势或流行度。
+- 进一步优化可能会移除相关证据。
+- 重复优化仍然没有返回有用数据。
+- 用户已经有正确索引和精确字段约束，这种情况下下一步是自适应查询而不是另一次关键词搜索。
+
+## 回复策略
+
+始终解释搜索的含义，而不只是它返回了什么。
+
+首选回复结构：
+
+### 搜索概览
+
+- 搜索模式：schema 探索、关键词搜索或自适应查询
+- 关键词集或精确过滤条件
+- 时间范围
+- 搜索的索引或 `all`
+- 如果使用了聚合字段
+- 结果组数量
+- 用一两句话给出整体解释
+
+### 结果组
+
+| Backend | Status | Total Hits | Index Distribution | Meaning |
+|---------|--------|------------|--------------------|---------|
+
+### 证据要点
+
+- 对调查重要的关键字段统计。
+- 只有在增加价值时才给出代表性记录。
+- 重要 pivot：用户、主机、IP、进程、事件、动作、目标或其他相关字段。
+- 对于 schema 探索，只强调对 hunt 重要的索引和字段。
+
+### 下一步最佳动作
+
+- 收窄时间范围
+- 添加一个更强关键词
+- 移除一个限制性关键词
+- 搜索特定索引
+- 用精确过滤切换到自适应查询
+- 把有用 SIEM 结果保存为相关 case、alert 或 artifact 上的 enrichment
+- 停止，因为证据已经足够
+
+## 澄清规则
+
+- 如果缺少时间范围，询问时间范围。
+- 只有当用户没有提供 UTC 且意图时区不清楚时，才询问时区。
+- 只有当广泛搜索可能浪费、用户已经暗示已知源，或自适应查询是正确工具时，才询问 `index_name`。
+- 只有当用户想要自适应查询且 schema 仍不清楚时，才询问精确字段名。
+- 如果用户说"看看这个事件周围"，从可用 IOC 和时间框架推导出合理的首次搜索，而不是让他们设计查询。
+
+## 输出规则
+
+- 保持简洁。
+- 默认不要倾倒每条返回记录。
+- 优先展示最相关的记录和统计。
+- 当返回多个组时，按 backend 和 index 分组结果。
+- 对于 schema 探索，呈现候选列表而不是原始字段清单。
+- 如果没有找到数据，直接说明并建议最可能有用的调整。
+
+## 失败处理
+
+- 无效时间格式：要求 UTC ISO8601 带尾部 `Z`。
+- 空结果：扩展时间范围或移除一个关键词。
+- 太多命中：先收窄时间范围，再添加信号。
+- 未知索引或字段选择：在猜测前使用 `siem_explore_schema`。
+- Backend 或源问题：如果结果指示了，说明哪个 backend 或索引失败。

PLUGINS/ClaudeCode/skills/asp-ticket-en/SKILL.md

@@ -1,5 +1,5 @@
 ---
-name: asp-ticket
+name: asp-ticket-en
 description: 'Sync external tickets into ASP, link tickets to cases, list synced tickets, or update existing ticket records.'
 argument-hint: 'list tickets [filters] | create ticket <uid> | attach ticket to case <case_id> | update ticket <ticket_id> <fields>'
 compatibility: connect to asp mcp server

PLUGINS/ClaudeCode/skills/asp-ticket-zh/SKILL.md

@@ -0,0 +1,105 @@
+---
+name: asp-ticket-zh
+description: '把外部 ticket 同步到 ASP、把 ticket 关联到 case、列出已同步 ticket，或更新已有 ticket 记录。'
+argument-hint: 'list tickets [filters] | create ticket <uid> | attach ticket to case <case_id> | update ticket <ticket_id> <fields>'
+compatibility: connect to asp mcp server
+metadata:
+  author: Funnywolf
+  version: 0.1.0
+  mcp-server: asp
+  category: cyber security
+  tags: [ ticket, case, sync, workflow ]
+  documentation: https://asp.viperrtp.com/
+---
+
+# ASP Ticket
+
+当用户要在 ASP 中处理外部 ticket 同步时，使用这个 skill。
+
+## 适用场景
+
+- 用户想创建一条已同步的外部 ticket 记录。
+- 用户想把 ticket 关联到 case。
+- 用户想按状态、类型或外部 UID 列出已同步 ticket。
+- 用户想更新已同步 ticket 的字段。
+
+## 运行规则
+
+- 把 ticket 视为已同步的外部工作流记录，而不是平台的主要调查对象。
+- 如果用户请求已经隐含操作，不要反问用户要哪种操作。
+- 只收集缺失的必要输入。
+- 使用 `create_ticket` 创建已同步 ticket 记录。
+- 使用 `attach_ticket_to_case` 把已有 ticket 记录关联到 case，前提是已经拿到 ticket row ID。
+- 使用 `list_tickets` 浏览和查询。
+- 使用 `update_ticket` 只修改用户明确要求变更的字段。
+
+## 决策流程
+
+1. 如果用户想创建已同步 ticket 记录，调用 `create_ticket`。
+2. 如果用户想把 ticket 关联到 case，视情况先创建 ticket 或先取回已有 ticket row ID，再调用 `attach_ticket_to_case`。
+3. 如果用户想浏览或对比已同步 ticket，调用 `list_tickets`。
+4. 如果用户想修改已同步 ticket 字段，调用 `update_ticket`。
+
+## SOP
+
+### 列出 Ticket
+
+1. 从请求中提取最窄且最有用的过滤条件。
+2. 调用 `list_tickets`。
+3. 解析返回的 JSON 字符串。
+4. 以紧凑的工作流视图呈现；如果用户大概率下一步要附加或复用该 ticket，则显式展示 ticket row ID。
+
+首选回复结构：
+
+| Ticket ID | External UID | Type | Status | Title | Summary |
+|-----------|--------------|------|--------|-------|---------|
+
+然后在需要时补一句简短解释。
+
+### 创建 Ticket
+
+1. 收集用户想同步的外部 ticket 详情。
+2. 调用 `create_ticket`。
+3. 确认创建后的 ticket row ID。
+4. 如果该 ticket 应该关联到 case，建议下一步附加到 case。
+
+### 把 Ticket 附加到 Case
+
+1. 要求提供 `case_id`。
+2. 如果用户还没有 ticket row ID，则先为新 ticket 调用 `create_ticket`，或先取回已有 ticket。
+3. 调用 `attach_ticket_to_case(case_id=<case_id>, ticket_rowid=<ticket_rowid>)`。
+4. 确认 ticket 已附加成功。
+
+### 更新 Ticket
+
+1. 要求提供 `ticket_id`。
+2. 只提取用户明确要求修改的字段。
+3. 仅带变更字段调用 `update_ticket`。
+4. 如果结果为 `None`，说明找不到该 ticket。
+5. 只确认实际变更的字段。
+
+首选回复结构：
+
+- `Updated ticket`：ticket ID 或返回的 row ID
+- `Changed fields`：只列本次请求实际提交的字段
+- `Next useful step`：可选，通常是附加到 case 或查看刷新后的 ticket
+
+## 澄清规则
+
+- 只有当用户要附加到 case 却未提供时，才询问 `case_id`。
+- 只有当用户要更新特定已同步 ticket 却未提供时，才询问 `ticket_id`。
+- 如果用户想在一次请求中创建并附加 ticket，就完成两步，不要强迫用户拆分工作流。
+
+## 输出规则
+
+- 保持简洁。
+- 除非用户明确要求，否则不要输出原始 JSON。
+- 优先使用工作流语义，而不是存储语义。
+- 当匹配的 ticket 很多时，展示最有价值的子集，并简要说明整体模式。
+
+## 失败处理
+
+- 如果没有匹配的 ticket，直接说明，并建议最有用的收敛方式。
+- 如果目标 case 不存在，直接说明。
+- 如果目标 ticket 不存在，直接说明。
+- 如果请求更新信息不完整，只问一个聚焦问题，不要猜测。