vercel-deepsec 是一个应用安全研究技能，改编自 Vercel Labs DeepSec 默认处理器提示，并整合为 Warden 形式，主要用于基准测试与对比安全审查覆盖率。
用途：面向 Web 应用的安全审查，检测较广泛的安全漏洞类别，服务于基准（benchmark）与横向比较运行；针对聚焦的生产审查，建议优先使用更窄的专门技能。
主要能力：按统一标准检查认证、授权与逻辑缺陷，注入与代码执行，客户端执行与重定向，数据暴露、SSRF 与文件系统问题，以及密钥、加密、云与请求头问题；覆盖 auth-bypass、missing-auth、acl-check、cross-tenant-id、server-action、jwt-handling、webhook-handler、rce、sql-injection、xss、ssrf、path-traversal、secrets-exposure、open-redirect、rate-limit-bypass 等类别，未知问题用 other-<specific-name>。要求追踪 source 到 sink，完整通读目标文件，验证上下文中的缓解措施，仅报告可证明且可利用的问题，并按 high/medium/low 定级。
使用方式：以基准契约在同一标准下运行，不针对预期答案调参；扫描器、grep 命中与可疑文件名只作起点；必要时用 rg 与 git log -p <file> 对比兄弟处理器或查看防护是否被移除。
适用场景：安全审查覆盖率基准、对比运行，以及需要较广覆盖面的复查。
限制：不报告已被验证防护完全缓解的模式、仅由常量或可信值驱动的 sink、生成/ vendored/ gitignored/ 构建输出/ fixture 或非生产代码、与改动代码不可达的通用依赖漏洞、纯 lint 与最佳实践建议，以及无影响路径的理论加固；无法从可用代码证明数据流、边界或缺失缓解时不予报告，不夸大严重性；本技能不将 Next.js middleware.ts 单独视为完整认证证明。