用途：对 Roblox Creator Store、Toolbox、库存、群组、宇宙（universe）、包、模型、UI、玩法及插件类第三方导入资产做安全审计。Roblox 官方文档将第三方资产列为安全风险，因为它们可能含恶意脚本或后门，Creator Store 资产同样可能包含脚本，因此在启用、发布或在其行为上继续开发前先审计。
主要能力：隔离导入并禁用导入脚本，优先只提取网格、部件、纹理、声音、粒子和 UI 美术等纯视觉内容；记录资产名称、资产 ID、创作者/来源、插入路径和审计结果；借助 MCP 工作流确认 Studio 连接（list_roblox_studios、set_active_studio、get_studio_state），用 search_game_tree 定位资产、inspect_instance 检查导入根节点，用 script_grep 搜索 require、getfenv、setfenv、loadstring、HttpService、GetObjects、InsertService、MarketplaceService、DataStore、MessagingService、TeleportService、RemoteEvent、RemoteFunction、rbxassetid、asset、string.reverse、string.char、byte、spawn、coroutine、while true 等可疑模式；用 script_search 与 script_read 检查每个 Script、LocalScript、ModuleScript，并排查异常对象下、被禁用、命名误导或深层嵌套的脚本。用 multi_edit 或 execute_luau 移除或禁用不需要的脚本，用 start_stop_play 隔离试玩并通过 get_console_output 查看控制台输出。
高风险信号：混淆或异常复杂的代码；按资产 ID 获取或执行外部模块；要求启用 HttpService、粘贴命令栏代码或安装其他资产/插件；未知远程事件、管理面板、后门式命令或隐藏 GUI；名为 AntiLag、MainModule、Loader、Handler、Update、Version、HDAdmin、Free、Fix 或与资产用途无关的脚本；装饰性资产中出现 DataStore 写入、购买处理、传送、管理/管理员命令或玩家消息；自我重设父级、自我克隆、销毁审计可见对象或跨服务传播的代码。
判定与输出：结论为“仅保留视觉内容安全”“脚本经审查安全”“隔离（可疑但未证实恶意，不上线）”或“拒绝/移除”。报告应含资产名称、ID/来源、已知创作者、插入路径、脚本清单与可疑模式发现、采取的动作、检查过的安全敏感设置、最终结论与后续测试。
限制：即使 Roblox 增加平台防护，也应继续执行审计流程，平台保障不能替代阅读和理解导入脚本；策略与平台行为以官方文档为准：https://create.roblox.com/docs/scripting/security/third-party-vulnerabilities、https://create.roblox.com/docs/scripting/capabilities、https://create.roblox.com/docs/production/creator-store。资料未提供具体安装命令、收费信息或支持平台细节。