用途：对用户指定的文件、diff 或代码片段做安全审查，找出可被利用的漏洞，如注入、XSS、SSRF、路径穿越、反序列化、硬编码密钥等。
主要能力：按上下文加载参考文档（注入、XSS、授权、认证、加密、文件安全、SSRF、CSRF、API 安全、业务逻辑、配置错误、供应链等），并按语言（Python、JavaScript、Go、Rust、Java）和基础设施（Docker、Kubernetes、Terraform、CI/CD、云）加载对应指南。
使用方式：先判断代码类型并加载相应参考，再追踪输入来源，确认是否受攻击者控制、是否有上游校验或框架防护，最后只报告高置信度问题。输出包含摘要、风险等级、置信度、逐条发现（位置、问题、影响、证据、修复建议）以及“需验证”项；未发现时说明“未识别到高置信度漏洞”。
限制：不报告测试文件、死代码、注释、常量或服务端配置值；框架自动转义、参数化查询等通常视为安全，除非使用 safe、dangerouslySetInnerHTML、v-html、raw 等危险写法。仅凭模式匹配不下结论，必须先调查再报告。