用途：审计过期的 npm/Bun 依赖，在改动 lockfile 前先做供应链完整性检查，只升级安全的包，把需要人工审查的包暂缓并记录。
主要能力：流程分发现、完整性审计、执行、回顾四阶段。发现阶段运行 bun outdated 获取可更新包列表，记录当前版本、目标版本、是否受最小发布年龄限制、依赖类型，并单独标记被年龄门完全阻塞的包。审计阶段为每个包并行启动一个 Sonnet 子代理，检查维护者是否变更、目标版本发布时间与天数（少于 7 天标记）、是否有来源证明、用 npm diff 查看 tarball 实际改动（文件数、是否仅版本与依赖变化、是否新增运行时依赖、是否有混淆代码或异常网络调用等可疑模式），并尝试查找发布说明。子代理输出 JSON 报告，给出 safe、review 或 defer 判定；失败或超时按 defer 处理。随后按运行时高暴露、SDK/API、仅开发、构建工具链分层，帮助判断风险。执行阶段用 bun update 升级判定为 safe 的包；若因年龄门冲突失败，可加入 bunfig.toml 的 minimumReleaseAgeExcludes 并记录原因。审计结果写入 ~/.supply-chain/notes/<日期>.json，暂缓包设置 7 天后的 review_by。回顾阶段汇总已更新、已暂缓、历史仍暂缓以及年龄门排除项。
使用方式：在支持该技能的环境中调用，依赖 bun、npm 与 gh 等命令；具体安装与调用步骤资料未提供。
适用场景：需要批量升级依赖但关注供应链安全的项目，尤其是运行时库、第三方 SDK 与构建工具链的升级。
限制：判定依赖子代理输出，可能需人工复核；年龄门排除需手动配置；资料未提供收费、平台支持范围与具体安装方式。