用途：该技能是分析后置的富化工具，把其他技能产出的安全发现映射到 MITRE ATT&CK 框架，补充战术（tactic）、技术（technique）、攻击链分析和威胁行为体 TTP 交叉引用。它不发现新漏洞，也不直接处理源代码，只处理 findings。
主要能力：依据 CWE（主）、OWASP（次）、STRIDE（再次）映射表及关键词模式匹配确定适用技术，记录 technique_id、technique_name、tactic_id、tactic_name，并写入 references.mitre_attck。可生成战术覆盖矩阵、多步攻击链（从侦察到影响，含链路严重度）和文本版杀伤链示意图；在 deep/expert 深度下可交叉引用威胁行为体的常见技术使用情况。
使用方式：先从当前会话上下文、.appsec/findings.json 或用户指定文件获取 findings，无可用发现时需先运行 /appsec:owasp、/appsec:stride 或 /appsec:sans25。对 findings 做校验与规范化后映射，并输出报告。支持标志：--depth（standard 映射技术、deep 构建杀伤链、expert 增加 TTP 与 DREAD 评分）、--severity（按严重度过滤输入）、--format（作用于最终输出）、--quiet（仅映射，省略叙述）、--explain（每条映射附详细 ATT&CK 说明）。--scope 不直接使用。
适用场景：已有安全发现后做 ATT&CK 对齐、展示攻击技术、理解发现与 ATT&CK 的关系、构建攻击链和评估检测缺口。
限制：依赖上游 findings，无发现时无法工作；校验失败的条目会被丢弃并告警；TTP 交叉引用不是威胁情报评估，仅说明相关技术被真实攻击使用；expert 模式的 DREAD 评分、威胁行为体归类、检测缺口分析和缓解路线图需读取相应共享框架文档。各共享文件路径（如 shared/schemas/flags.md、shared/frameworks/mitre-attck.md、shared/frameworks/dread.md）按资料原样保留，其余实现细节暂未提供。