用途：该技能在用户要求配置安全、appsec 设置、安全偏好或调用 /appsec:config 时使用，管理存储于 .appsec/config.yaml 的持久化安全偏好，为所有 /appsec:* 工具设定默认行为。它完全在主代理上下文中运行，不派发子代理。
主要能力：根据用户意图执行操作，包括显示当前配置、更新设置、添加排除路径、接受风险（accept risk，如 INJ-003）、重置配置、启用或禁用钩子。配置文件字段均可选，缺省时使用工具默认值：default_scope（changed/staged/branch/full，默认 changed）、default_depth（quick/standard/deep/expert，默认 standard）、minimum_severity（critical/high/medium/low，默认 low）、scanner_paths、excluded_paths、accepted_risks、hooks（plan_review、secret_detection）、enabled_frameworks（owasp、stride、pasta、linddun、sans25）、enabled_personas（script-kiddie、insider、organized-crime、hacktivist、nation-state、supply-chain）。
使用方式：先通过 Glob 检查并读取 .appsec/config.yaml，若不存在则使用全部默认值；若 YAML 无效会警告并使用默认值，遇到未知键会提示可能的拼写错误。随后解析意图，更新设置时校验取值，接受风险时需确认发现 ID 存在于 .appsec/findings.json 并询问原因，重置时删除配置文件。输出文本格式的当前设置，并提供命令：/appsec:config set <key> <value>、/appsec:config exclude <path>、/appsec:config accept <ID>、/appsec:config reset。
消费规则：其他技能启动时读取该配置，命令行标志优先于配置值，配置值优先于工具默认值。已接受风险在 /appsec:run 与 /appsec:full-audit 合并时被过滤，仍会被检测但标记为 accepted，除非显式设置 --severity low。
限制：资料未提供收费、价格、平台与效果信息；具体依赖与安装方式暂未提供。