用途：为依赖更新类 PR（如 Renovate、Dependabot 提交）提供一致、可审计的审查流程，适用于“审查这个依赖 PR”“这个依赖更新能合并吗”等场景；不适用于功能 PR、应用代码审查、依赖自动化配置或组织级依赖策略决策。
主要能力：自动提取包名与版本变化（from → to）、changelog/发布说明链接、CI 状态、变更文件与依赖生态，以及已有顶层评论、评审评论和未解决线程；产出研究摘要（changelog 要点、破坏性变更、已知问题）、安全评估、代码质量评估、影响评估，以及包含建议、理由、置信度、就绪度和后续事项的结论。
使用方式：需提供仓库 owner 与名称、PR 编号或 URL（或含包名、版本变化、变更文件、CI 状态的 PR 摘要），可选指定关注点；信息缺失时按 references/questions.md 追问。运行时若支持技能内 advisor，推荐编排为：先运行 agents/target-pr-advisor.md 确定目标 PR，再由 agents/research-advisor.md 构建共享证据包，并行运行 agents/security-advisor.md、agents/code-quality-advisor.md、agents/impact-advisor.md，随后串联 agents/verdict-advisor.md 生成结论，仅在需要改分支时使用 agents/source-control-advisor.md。若 advisor 不可用，可按研究→多视角→结论→源码控制的顺序内联执行。
限制与安全约束：该技能具备变更能力，仓库本地工作流说明优先。不得在无用户明确确认时合并或批准 PR；不得把基分支合并进 Dependabot/Renovate 分支（刷新时应 rebase）；目标不明确时不得猜测 PR；实时 PR 上不得跳过研究检查点评论与最终结论评论；不得在未核实的情况下声称 CI 通过或安全无虞；不得泄露密钥或令牌；不得编造 changelog 或版本信息。所有评估需给出证据（changelog、CVE、CI 状态链接），技术建议、证据置信度与合并就绪度需独立评估，待检查项或所需批准视为就绪门槛而非技术阻塞。