用途：对应用、API、基础设施与数据开展系统化安全审计，输出有证据、按严重度排序、可落地的修复建议。它是 loom-security-scan（快速工具扫描）的重量级补充；威胁建模/架构交给 loom-threat-model，认证授权机制交给 loom-auth，依赖与供应链交给 loom-dependency-scan。
方法：先界定范围（资产、数据分级、合规义务、威胁模型），再按层审查应用代码、API、基础设施/IaC、数据管道与 ML；每条发现须引用 file:line 或配置路径并给出具体利用场景；按 CVSS 或可能性×影响评级，最严重者优先；给出具体修复（最好是 diff）；最后输出执行摘要、技术细节与优先级修复清单。建议先跑 loom-security-scan 清掉已知模式噪声，人力集中在扫描器漏掉的逻辑与授权缺陷。
覆盖范围：以 OWASP Top 10（2021）为审计视角，涵盖访问控制失效（IDOR/BOLA）、加密失败、注入、不安全设计、安全配置错误、易受攻击组件、认证失败、软件与数据完整性、日志与监控失败、SSRF；API 另对照 OWASP API Security Top 10。还包含基础设施与云（IAM 最小权限、存储公开性、网络暴露、IMDSv2、容器与 K8s、IaC 扫描）、安全响应头基线、数据与 ML 安全、CVSS 严重度分级与 SLA、SOC2/PCI-DSS/HIPAA/GDPR 合规要点，以及签核前的审计清单。
限制：资料未提供该技能的安装命令、运行方式、支持平台、收费与价格信息，暂未提供；具体工具细节需参考 loom-security-scan。