用途：在目标仓库中操作 Vercel 的 deepsec 安全扫描器，完成初始化工作区、编写 INFO.md、执行扫描/处理/分诊/复验/导出，并通过 process --diff 在 CI 中为 PR 设置安全门禁，同时控制成本、降低误报。
主要能力：支持 setup、scan、pr-review、matchers、triage、config、troubleshoot 等意图；可运行 deepsec init、scan、process、triage、revalidate、enrich、report、export、metrics、status、sandbox 等命令；支持 --diff、--diff-staged、--diff-working、--files、--files-from 等差异来源；可编写项目专属 matcher 并接入 deepsec.config.ts；支持 AI Gateway、Vercel OIDC、直连 Anthropic/OpenAI、订阅登录等凭据模式。
使用方式：先确认 .deepsec/ 是否存在，不存在则运行 bunx deepsec init 并安装依赖、配置 .env.local；随后编写 data/<id>/INFO.md（50-100 行、项目专属、不含行号）；仓库超过 500 文件时先做校准扫描（文档建议 --limit 50 --concurrency 5），再执行完整 process、triage、revalidate 与 export。PR 模式使用 process --diff origin/${BASE_REF} --comment-out comment.md，并采用双作业 CI 模式。
适用场景：首次安装 deepsec、全量或限定范围扫描、PR/CI 安全门禁、补充自定义 matcher、分诊积压发现、诊断凭据或配额问题。
限制：需要 Node.js 22+、包管理器、AI 凭据与 git 仓库；扫描会产生真实费用，官方成本指南称单次全量扫描约 25 至 1200 美元以上，超大仓库可能更高；--limit 限制文件数而非花费；配额耗尽需充值后重跑同一命令；拒绝（refused: true）不得静默丢弃；凭据不得回显或提交；未测量仓库规模前不得启动无界扫描。