用途：该技能是事件响应（incident-triage）的反向流程。事件响应处理"正在出事怎么办"，本技能则是阅读公开且记载详尽的泄露事件，提取每个事件隐含的审计问题，并据此检查自身技术栈。
主要能力：收录若干具有模式意义的公开泄露事件，包括 Capital One 的 IMDS 滥用、SolarWinds 供应商凭证爆炸半径、LastPass 开发者端点导致的保险库外泄、Okta/Lapsus$ 的 SSO 推送疲劳、Snowflake 客户凭证被盗导致的 SaaS 横向移动、MOVEit 文件传输零日、Codecov CI 构建产物被篡改、Twitter/X 内部工具滥用、Equifax 长期未发现入侵、Uber 承包商 cookie/token 被盗绕过 MFA。每条模式给出事件摘要、对应审计问题，以及映射到仓库内其他审计技能的具体检查项。
使用方式：对每个模式依次阅读摘要、提出适用于自身环境的审计问题、映射到现有审计技能中的检查、给出处置结论（已确认不会发生／存在缺口并有计划／接受风险）。产物是一份"泄露模式覆盖"文档，按环境名称与日期记录覆盖状态表，包含模式、审计问题、状态、负责人，并列出缺口计划与尚未评估的模式。
适用场景：希望主动加固、把公开泄露教训转化为自查清单的安全与平台团队；当模式涉及健康、支付卡或个人信息暴露时，可转向 hipaa-audit、pci-audit 或 privacy-engineering 了解监管时限与通知义务。
限制：该技能是预防性的，用于判断"这种事会不会发生在我们身上"，而非提供攻击方法；不生成攻击模式或超出防御覆盖评估所需的攻击者剧本；只使用公开泄露信息，不寻求泄露凭证库或非公开细节；若评估发现的是正在发生的问题而非可能发生，应转向 incident-triage。具体安装命令、运行命令和价格暂未提供。