用途：对应用做完整安全审计，范围可选整个代码库或仅未提交改动，产出 docs/SECURITY-AUDIT.md。面向用 AI 智能体快速构建、非安全工程师背景的开发者，重点检查真实导致事故的问题：提交的密钥、数据库缺少行级安全、未受保护的 API 路由、缺失所有权校验、密钥泄露到浏览器。
主要能力：先识别技术栈（框架、数据库层、认证、支付、托管），据此判断哪些类别不适用；枚举攻击面（路由、数据表与 RLS、环境变量、Webhook、用户输入与上传）；按三层分级逐类审计，Tier 1 为密钥暴露、数据库访问控制、未保护 API 路由、对象级授权缺陷（IDOR）、浏览器可达的密钥；Tier 2 含注入、XSS 逃逸口、未验证 Webhook、CORS、SSRF、命令注入、依赖风险、认证端点限流、JWT 缺陷；Tier 3 含 CSRF、安全响应头、文件上传、错误信息泄露、日志中的 PII。每条发现标注 OWASP Top 10 (2025) ID，并需给出具体利用路径，置信度不足约 8/10 的不写入。
使用方式：会话 30–60 分钟（全库）或 10–20 分钟（未提交改动）。报告结构固定：结论、立即行动（凭据泄露时先轮换）、发现表、已安全项、可执行的修复计划（复选框任务，每条含可证伪的 Verify 断言）、仅人工操作、审计排除项。技能不自动修复，执行由用户显式发起。
限制：不报告拒绝服务、理论竞态、无具体利用的加固建议、客户端鉴权缺失、React/Vue/Angular 逃逸口之外的 XSS、需控制环境变量的攻击、审计日志缺失、文档或测试文件中的问题；基础设施与第三方内部不在范围。具体价格、平台支持等信息暂未提供。