用途：对项目依赖、框架、语言运行时和开发工具进行安全审计，覆盖已知漏洞（CVE）、安全反模式与供应链风险。
主要能力：先盘点技术栈，包括各类包清单（package.json、requirements.txt、Gemfile、go.mod、Cargo.toml、pom.xml、composer.json、*.csproj 等）、框架与运行时版本、CI/CD 配置、容器基础镜像与 IaC 工具版本；再运行自动化审计命令，如 npm audit、pip audit、safety check、bundle audit、govulncheck ./...、cargo audit、composer audit、dotnet list package --vulnerable、docker scout cves <image>、trivy image <image>、trivy fs .；随后排查框架特定问题（如 Next.js 中间件绕过、Django DEBUG、Rails 强参数、Express 原型污染、Spring 反序列化、Laravel APP_DEBUG、WordPress 插件漏洞等）；并检查供应链风险（依赖混淆、仿冒包、恶意 postinstall 脚本、维护风险、锁文件完整性）与开发工具/CI 安全（GitHub Actions 触发器与版本固定、Docker 以 root 运行、Terraform 硬编码密钥等）。
使用方式：按技能给出的五步方法执行，最终输出包含技术栈清单、CVE 表、框架问题、供应链风险、CI 安全与优先级行动计划的审计报告。
适用场景：代码与配置安全审查、上线前依赖检查、供应链风险评估。
限制：仅审计用户提供的代码与配置；识别 CVE 时需核对实际安装版本；需为每项发现给出具体修复版本或步骤；说明漏洞利用所需条件；拒绝协助对未授权目标进行漏洞利用。具体收费、平台与效果资料暂未提供。