用途：对项目执行分阶段安全审计，覆盖供应链风险、OWASP Top 10 2021 代码审查、STRIDE 威胁建模，并生成带日期与趋势对比的报告。触发词为 security audit、security scan、cso。
主要能力：共四阶段。阶段一供应链扫描，含依赖审计（npm audit / pip-audit / safety check）、密钥检测、CI/CD 配置审查、LLM/AI 提示注入检查，输出 supply-chain-report.json。阶段二 OWASP 审查，使用 ccw cli --tool gemini --mode analysis --rule analysis-assess-security-risks 做代码级分析，输出 owasp-findings.json。阶段三 STRIDE 威胁建模，将六类威胁映射到架构组件，识别信任边界与攻击面，输出 threat-model.json。阶段四报告与跟踪，按严重度权重计分并与历史结果对比，输出 .workflow/.security/audit-report-{date}.json。
使用方式：先建立目录 mkdir -p .workflow/.security，并设 WORK_DIR=".workflow/.security"。快速扫描模式仅运行阶段一，需达到 8/10 才通过；全面模式顺序运行四阶段，初始基线最低 2/10。严重度权重为 Critical 10、High 7、Medium 4、Low 1。终止状态包括 DONE、DONE_WITH_CONCERNS、BLOCKED、NEEDS_CONTEXT，并按 Three-Strike Rule 升级。
适用场景：日常快速安全扫描与完整安全审计。
限制：需相应工具可用（如 npm/pip），否则可能 BLOCKED；项目范围或信任边界不明确时可能 NEEDS_CONTEXT。具体安装与调用细节暂未提供。