用途：把“测试边界情况”转化为可复现的失败用例活动，在真实系统上执行并保证系统可恢复，产出可执行用例与证据，而非通用检查清单。
主要能力：提供设计、构建、安全执行、有状态执行、混沌五种模式，按侵入性从低到高选择；覆盖真实路径发现、失败模式建模与优先级排序、可执行用例构建、离线验证与预检、按风险顺序执行、恢复与报告。用例契约结构为 Fixture → Setup → Action → Oracle → Recovery，使用确定性合成夹具与唯一 canary，优先复用项目现有工具与真实解析器。可选风险评分：risk = impact(1–5) × likelihood(1–5) × detectability(1–5)，75–125 为 critical，40–74 为 high，15–39 为 medium，1–14 为 low；执行风险单独标记为 read_only、reversible_mutation、isolated_destructive、external_side_effect 或 production_forbidden。
使用方式：设计或运行前先加载 references/safety.md；定义用例、夹具、配置、证据、状态或完成标准时加载 references/campaign-contract.md；发现和排序失败模式时加载 references/failure-taxonomy.md；仅在评估该技能路由或行为时加载 references/evaluation-pack.md。项目无活动格式时，复制 assets/starter-kit/ 并适配模板，运行 python3 scripts/validate_kit.py <kit-directory>。
适用场景：需要对抗性或失败模式测试、跨越真实系统边界的边界用例活动。
限制：请求“边界情况”不授权有状态、混沌、生产、凭据或第三方变更；不得在未获明确授权时变更生产或共享资源、停止基础设施、轮换凭据、创建公共隧道、更改 DNS 或删除外部数据；禁止通配符删除；不得打印或保留令牌、Cookie、授权头、私钥、完整环境转储、私有文档或未脱敏基础设施日志；无明确可观察 oracle 时不得评判主观生成输出；仅使用 mock 或替代解析器时不得声称覆盖真实路径；不得隐藏失败前置条件以继续执行。恢复失败时保留资源清单、停止进一步变更并报告 failed_recovery。