incident-response – 安全事件响应 Skill

Skill 详细介绍

anthropics/knowledge-work-plugins#incident-response 是 Anthropic 官方 knowledge-work-plugins 仓库中的一个 Skill，名称可以识别为 incident-response。它面向知识工作场景，核心用途是帮助团队在发生线上事故、系统故障或服务异常时，快速组织信息、梳理时间线、定位影响范围，并产出结构化的响应文档与复盘材料。

它不是监控系统，不是告警平台，也不是独立的运维软件。它本身不负责探测故障、不接收集群指标、不替代 PagerDuty 或类似值班工具。它做的事情是在事故已经发生、信息已经存在的前提下，借助 Agent 把这些零散信息整理成可读、可执行、可追溯的内容。

核心能力方向

• 把散乱的事故描述、聊天记录、日志片段整理成清晰的时间线。
• 辅助起草事故初报、状态更新和事后复盘报告。
• 梳理受影响范围、严重级别和建议的响应动作。
• 生成对内沟通口径和对外说明草稿。
• 将复盘内容结构化，提炼根因、改进项和负责人。

典型任务

• 事故进行中：把多个来源的信息合并，输出当前状态摘要和下一步检查清单。
• 事故收尾后：生成一份结构完整的事后复盘（Postmortem）草稿，包含时间线、根因、影响、行动项。
• 沟通辅助：针对不同受众（工程团队、管理层、客户）生成不同详细程度的说明文本。
• 流程规范化：把一次事故的处理过程沉淀成可复用的响应模板或检查清单。

工作方式

这个 Skill 本质上属于提示词与工作流指令集，而不是可执行程序。它通过定义事故响应的结构、语气和输出格式，约束 Agent 在收到相关任务时按一定规范组织信息。用户提供的事故材料越完整，产出质量越高；如果只给一句模糊描述，它也只能在很有限的上下文里工作。

适合谁

• SRE、运维、后端工程师，需要在故障时快速整理信息。
• 技术负责人，需要向上汇报或组织复盘。
• 需要建立事故响应流程、但还没形成固定模板的团队。

不适合什么需求

• 不要指望它主动发现故障或自动触发告警。
• 不要指望它连接你的监控系统并拉取真实指标，除非 Agent 环境本身具备这类工具。
• 它不是合规审计工具，产出的复盘仍需人工审核。

Skill 安全评估

总体判断：这是一个以文本组织和流程引导为主的 Skill，本身不携带可执行代码，风险主要取决于你把它放进什么 Agent 环境、以及你让它处理哪些数据。它不属于高风险类型的 Skill，但事故场景本身涉及敏感信息，这一点需要单独注意。

来源可信度

该 Skill 来自 anthropics/knowledge-work-plugins，属于 Anthropic 官方组织下的仓库。相比来源不明的第三方 Skill，供应链层面的可信度更高。不过仍应以仓库当前的实际内容为准，本指南不对未确认的版本细节做保证。

主要风险点

• 敏感信息暴露：事故响应材料经常包含内部主机名、IP、日志、客户数据、人员信息。如果把这些内容交给 Agent，需要确认 Agent 的数据处理和留存策略，避免把生产敏感数据送入不合适的模型或第三方服务。
• Agent 权限继承：如果所在 Agent 环境默认开启了 Shell、文件写入或网络访问，那么 Skill 触发后 Agent 可能执行这些操作。Skill 本身不要求这些权限，风险来自 Agent 的配置而非 Skill。
• 内容准确性：生成的复盘、根因分析属于草稿性质。如果直接当成结论对外发布，可能放大错误判断。建议由熟悉事故的工程师复核。
• Prompt Injection：如果事故材料里包含来自外部的内容（如用户提交的报告、第三方日志），理论上存在被注入指令的可能。处理不可信来源文本时应保持警惕。

降低风险的建议

• 只把 Skill 用于文本整理，可关闭 Agent 的自动执行 Shell 与自动写文件权限，由人工确认后执行。
• 对进入 Agent 的事故材料做脱敏，替换真实 IP、凭据、客户标识。
• 不要把生产环境密钥、Token、证书内容粘贴给 Agent。
• 生成的复盘和对外说明在发布前必须经过人工审核。

没有证据表明该 Skill 自身存在恶意行为，但事故场景天然涉及高敏感数据，使用时把注意力放在数据边界上，而不是 Skill 本身。

Skill 使用要求

一、Agent / 客户端

该 Skill 来自 Anthropic 官方知识工作类插件仓库，与 Claude Code 的 Skill 机制高度适配，可以优先在 Claude Code 中使用。官方没有公布完整的第三方 Agent 兼容列表。从 Agent Skill 的通用工作方式看，在支持 Skills、自定义指令或类似加载机制的 Codex、Cursor、Trae、OpenClaw、WorkBuddy 等环境中，通常也可以尝试使用，但加载方式与兼容程度因 Agent 而异，具体以对应 Agent 当前版本为准。

二、运行环境 / 依赖

它不依赖数据库、Docker 或专门的 CLI，因为它本质是提示词与流程指令，不是可执行工具。

三、权限

• 文件读取：可选。读取你提供的事故记录文件时用到。
• 文件写入：可选。需要它直接生成复盘文件时用到，可关闭。
• Shell：非必需。事故响应整理不需要执行命令，除非你主动要求。
• 网络：非必需。Skill 本身不访问外部服务。

四、账号 / API Key

该 Skill 本身不需要额外的账号、API Key 或 Token。你需要的是能够使用对应 Agent 的账号。事故材料里如果包含第三方服务的凭据，属于你提供的数据内容，与 Skill 要求无关，建议不要提供。

最小使用条件

1. 一个可用的 Agent 环境（Claude Code 优先）。
2. 已安装该 Skill。
3. 准备一份事故相关素材：发生了什么、时间、影响、已知动作。
4. 明确你想要的产出：状态摘要、时间线、复盘，还是沟通文案。

Skill 安装、使用与卸载教程

一、安装

可以直接复制本页面提供的 Skill 安装指令，粘贴到对应的 Agent 或终端执行。如果你不确定自己的 Agent 如何安装 Skill，可以直接问当前 Agent：

如何安装 anthropics/knowledge-work-plugins#incident-response？

如何在 Claude Code 中安装 anthropics/knowledge-work-plugins#incident-response？

如何在 Cursor 中安装 anthropics/knowledge-work-plugins#incident-response？

让当前 Agent 根据自己的 Skill 加载与管理机制给出步骤。不同 Agent 的安装目录和加载方式不同，按其说明操作即可。该 Skill 没有需要额外强调的特殊官方安装条件。

二、安装后如何使用

安装后通常不需要专门的命令触发，直接在对话中说明任务并点明使用该 Skill 即可。适合交给它的任务包括事故整理、复盘起草和沟通文案。向 Agent 描述需求时，尽量把已知信息一次性说清，例如时间、影响范围、已经做过的动作、你想要的产出形式。

使用示例：

使用 incident-response，把下面的故障记录整理成一条清晰的时间线，并标注每个节点的操作人。

使用 incident-response，根据这次事故的信息帮我起草一份事后复盘，包含根因、影响范围和后续行动项。

使用 incident-response，为这次服务中断写一份面向客户的说明，语气专业、简洁，不要包含内部主机名。

三、卸载

卸载方式取决于你使用的 Agent。可以使用对应 Agent 或 Skill 管理器提供的删除方式移除该 Skill，也可以直接问当前 Agent：

如何卸载 anthropics/knowledge-work-plugins#incident-response？

不同 Agent 的 Skill 安装位置与管理方式可能不同，如果没有统一卸载命令，直接询问当前 Agent 如何移除通常更稳妥。

常见问题

这个 Skill 会自动监控我的系统并在出事时告警吗？

不会。它不连接监控系统，不采集指标，也不触发告警。它只在你已经掌握事故信息后，帮助整理和产出文档。真正的监控和告警需要由你现有的工具链负责。

可以同时安装到多个 Agent 吗？

通常可以。Skill 是按 Agent 环境各自加载的，同一份 Skill 安装到 Claude Code 和另一个支持 Skills 的 Agent，一般互不影响。具体以各 Agent 的加载机制为准。

中国大陆使用有网络限制吗？

该 Skill 本身不访问外部服务，网络要求来自 Agent 本身。能否正常使用取决于你所用 Agent 在中国大陆的网络可达情况，与这个 Skill 无直接关系。

它会在事故处理中执行命令或改动系统吗？

Skill 本身不要求也不会主动执行命令。如果所在 Agent 开启了自动执行 Shell 权限，理论上可能执行被要求的操作。若只用于文本整理，可以关闭自动执行权限，让所有命令由人工确认。

生成的复盘可以直接对外发布吗？

不建议直接发布。它产出的是草稿，根因判断和影响描述需要熟悉事故的工程师复核。对外材料还可能需要脱敏和合规审核，这一步不能省。

和通用的写作类 Skill 有什么区别？

通用写作 Skill 关注语言表达，这个 Skill 关注事故响应的结构和流程，例如时间线、严重级别、根因、行动项这些固定要素的组织方式。它面向的是运维和事故处理场景，而不是泛内容写作。

Skill 更新后需要重新安装吗？

取决于 Agent 的 Skill 管理方式。有些环境会自动同步更新，有些需要手动重新拉取。建议直接询问当前 Agent 该 Skill 的更新机制。