用途：对 activepieces/activepieces 仓库的 Dependabot 依赖漏洞告警做按需分诊，按受影响包生成可评审报告，并在任何 PR 之前提出经验证不破坏构建的版本升级修复。用户按包决定批准升级、忽略或上报。人工上报的漏洞应使用 triage-security-advisories 技能，两者共用 .security-triage/ 工作区。依赖 CVE 已公开，无需对照 SECURITY.md 做范围检查，修复可用普通 PR。
主要能力与流程：
- 拉取：mkdir -p .security-triage，用 gh api 分页获取开放告警并合并为数组，校验返回确为数组而非错误对象，否则多为令牌权限问题，需补 security_events 后重试。
- 去重与核实：按（包、公告）去重，默认聚焦 critical 与 high；读取公告全部 vulnerable_version_range，而非只看第一条；从锁文件（如 bun.lock）统计每个包的所有已安装副本，不依赖子代理回忆；每个包或公告派一个子代理，确认依赖关系、漏洞代码路径是否被实际调用、安装版本是否落在漏洞范围，并给出 AFFECTED / NOT_AFFECTED / NO_FIX_YET / DEV_ONLY 结论。
- 报告：每个受影响包写一份 markdown 到 .security-triage/reports/，并汇总为 DEPENDABOT-TRIAGE-SUMMARY.md，含结论统计、按严重度与结论分组的表格、共享依赖模式。
- 修复：经批准后，单一锁文件仓库应在一个隔离 worktree 中批量升级并开一个 PR；升级到能清除全部相关公告的首个修复版本；对仍脆弱的同主版本副本用扁平 resolutions/overrides 固定；跨主版本的第三方 SDK 内部副本不强制升级，作为残留记录；分类 semver 跳变、阅读变更日志、检查 API 用法，运行 typecheck、build、lint 与受影响包测试，失败需先在基线复现再归因。NO_FIX_YET 包不升级，改为风险接受或缓解说明。
限制：所有产物写入 gitignored 的 .security-triage/，不得提交；不捆绑无关升级；仅当构建、lint、测试通过才提议 PR。具体平台、收费与价格信息暂未提供。