THAMO 高危库冷启动公开来源核验
核验：2026-11-02。只完成公开文档研究，未下载整库、未注册/申请接口、未采购或向外部提交用户线索。来源可用、许可可用、我方已获接入权限和数据已用于生产是四种不同状态。
| 来源 | 可用内容与建议 | 本次核验的边界 |
|---|---|---|
| Phishing.Database | 钓鱼域名/URL候选种子，仓库声明MIT，优先固定版本做来源与质量测试 | 保留版权许可；导入前核上游条目来源、范围、更新时间及冲突；不是孟加拉号码/App全面数据库，不是官方无误判认证 |
| BGD e-GOV CIRT | 孟加拉本地公开警报、攻击模式和条目中的IOC | 官方站仍发布通报；2025钓鱼报告含IOC使用建议。逐条看发布时间/TLP/许可，不把历史通报仍在线当作指标仍活跃，不批量镜像全文 |
| 品牌官方资料（以bKash为已核实例） | 身份/客服/域名基线、诈骗话术规则出处 | 官方安全提示强调不分享PIN并给出官方核实入口；官方号码/域名不是入站身份保证，不整域关闭内容检测。Nagad/Rocket/银行清单待分别核验，不能由AI补造 |
| Google Web Risk | 持续更新的不安全URL查询，作为额外证据 | 官方说明结果可能漏报/误报，并禁止再分发返回信息；作为独立许可来源使用，不混进可再分发自有IOC库。无我方已开通/额度/费用验证 |
| URLhaus | 恶意软件下载URL与相关指标 | 官方明确不收集普通钓鱼页面；Auth-Key必需，商业/盈利使用可能需要付费。不能当作免费无限商用，也不能代替钓鱼检测 |
| OpenPhish | 钓鱼情报，商业订阅候选 | 官方社区仓库明确非商用；条款覆盖客户保护/产品开发等组织用途并要求事先书面同意。公开下载不等于公司可免费使用，首期不无授权导入 |
| PhishTank | 已验证且在线的钓鱼URL导出；官方文档称按小时更新 | terms.php顶部现行条款指向Cisco EULA；下方免费商用文字被标记Archived，不能摘取旧条款断言当前免费商用。接入前确认适用产品条款与访问资格 |
推荐起步组合
先做可版本化的库和适配器；选Phishing.Database的明确许可版本进行受控候选导入，加上孟加拉官方公开IOC和品牌身份基线。用户举报与Gemini派生结果先进入候选，不用其投票替代证据。Web Risk/商业情报在确认访问和条款后增强，不能在未开通时宣称已覆盖。
公开源多覆盖URL/恶意软件，没有证据证明它们能提供完整孟加拉诈骗号码、官方金融APK证书或Banglish话术库；这些能力需要分别建设，不以大库条数冒充本地效果。
直接证据链接
1. Phishing.Database项目：https://github.com/Phishing-Database/Phishing.Database
2. MIT许可：https://raw.githubusercontent.com/Phishing-Database/Phishing.Database/master/LICENSE
3. CIRT官方发布入口：https://www.cirt.gov.bd/
4. CIRT 2025钓鱼报告（历史材料）：https://www.cirt.gov.bd/wp-content/uploads/2025/01/Phishing-Awareness-Cyber-Space-of-Bangladesh.pdf
5. bKash官方安全提示：https://www.bkash.com/index.php/en/page/security-tips
6. Web Risk能力和再分发限制：https://docs.cloud.google.com/web-risk/docs/overview
7. URLhaus API、商业说明和收录范围：https://urlhaus.abuse.ch/api/
8. OpenPhish条款：https://openphish.com/terms.html
9. OpenPhish社区仓库说明：https://github.com/openphish/public_feed/blob/main/README.md
10. PhishTank现行/归档条款入口：https://phishtank.org/terms.php
11. PhishTank导出与更新：https://www.phishtank.org/developer_info.php
落地检查
固定commit或响应版本及许可摘要；不在文档记录API Key；外部请求限频、ETag、超时与重试有界；导入仅暂存候选，先查整域扩散和共享平台误封；记录来源家族避免镜像双计数；支持过期、撤销、冲突和版本回退。测试数据不可自动发布为真实恶意情报。