Dependency Triage 是一个用于依赖治理的技能，主要用途是扫描包清单（package manifests）与锁文件（lockfiles），找出过期依赖和已知 CVE，并把更新建议按风险等级分组，适合放入 dependency sweeper 循环中使用。
主要能力：对每个包输出结构化分诊信息，包括包名与生态（npm、pip、go 等）、当前版本、建议版本、风险等级（patch/minor/major）、CVE 编号与严重度、是否可自动处理（受 denylist 或人工门控影响），以及建议的循环动作（patch-in-worktree、escalate-human、skip）。
分类规则：patch 指 semver 补丁或无 API 变更的锁文件安全修复；minor 需谨慎并要求 verifier 校验；major 默认升级为人工处理，除非状态中已明确预先批准；denylist 中的包直接升级为人工处理且不得自动触碰；高危 CVE 若修复需要 major 或不兼容变更，则升级人工处理。
使用规则：优先选择能解决安全公告的最小安全升级；不得把互不相关的包更新打包到同一次变更中；每次运行都要记录 dependency-sweeper-state.md 中的人工覆盖决定；出现锁文件冲突或 peer dependency 警告时升级为人工处理。
适用场景：依赖清理与安全修复的自动化循环、需要按风险分批推进升级的维护流程。限制：官方资料未提供具体安装命令、支持的生态系统完整列表及运行环境要求。