用途：对项目依赖做健康审计，覆盖四个维度——过时版本（staleness）、已知漏洞（security）、许可证兼容性（licensing）和可能未使用的包（usage）。适用于周期性维护检查（月度/季度）、重大发布前、关注安全时，或用户提出“审计依赖”“哪些需要更新”等请求。
主要能力：先识别包管理器（Node.js 的 npm/yarn/pnpm，Python 的 pip/poetry/uv，Go modules），再分别检查过时情况、漏洞、许可证和未使用包，最后输出基于聊天的审计报告，可选写入 docs/dependency-audit.md。报告包含摘要表、漏洞（需立即修复）、可用的重大更新、次要/补丁更新、许可证问题及按优先级排序的建议。
使用方式：由主智能体直接运行，token 预算约 3-5k。识别包管理器使用文件探测命令，如 [ -f "package-lock.json" ] && echo "npm"；过时检查用 npm outdated --json、pip list --outdated --format=json、go list -u -m all；漏洞检查用 npm audit --json、pip-audit --format=json、govulncheck ./...；许可证检查用 npx -y license-checker --json、pip-licenses --format=json。更新按补丁（低风险，可安全更新）、次要（中风险，需看变更日志）、重大（高风险，可能有破坏性变更）分类。许可证方面，MIT、Apache-2.0、BSD 为宽松型，GPL-3.0 为 copyleft，AGPL-3.0 为强 copyleft，Unknown 需调查。
限制与规则：优先使用本地工具而非外部服务；安全漏洞优先于过时问题；不自动更新，只报告发现，实际更新应规划并测试；许可证需结合项目上下文判断（如 MIT 项目中的 GPL 依赖是否分发决定其是否合规）；不使用内置 explore 子智能体。具体支持范围与效果以实际环境为准。