用途：在泄露发生前回答“如果现在被攻破，影响有多大、代价多高”。适用于安全评审或渗透测试前的代码库审计、DPIA 准备、灾备与事件响应计划、新系统接入客户数据前的评估、GDPR/CCPA/HIPAA/SOC 2 合规准备等。可通过 /data-breach-blast-radius 直接调用，也可指定路径（如 /data-breach-blast-radius src/），未指定则分析整个项目。
主要能力：检测语言与框架（package.json、requirements.txt、go.mod、pom.xml、Cargo.toml、Gemfile、composer.json、.csproj），识别数据库层、API 层（REST/GraphQL/gRPC/OpenAPI）与基础设施即代码。盘点数据模型、API 契约、配置与密钥、日志与审计层中的敏感字段，按 T1–T5 分级；追踪从摄入、处理、存储、传输到删除的完整数据流，定位泄露点（未认证接口、IDOR/BOLA、过宽响应、CORS 错误、公开存储桶、日志泄露、错误堆栈、调试端点）。按“数据敏感度 × 暴露可能性 × 人口规模 × 数据完整度”计算爆炸半径，识别适用司法辖区（GDPR、CCPA、HIPAA、LGPD、PDPA），估算罚款区间与通知成本，输出含敏感数据清单表、Mermaid 数据流图、前 5 暴露向量、监管影响表、财务影响估算和加固路线图的报告。
限制：法规罚款上限与通知时限为法条来源，其余分数、金额与记录数为基于 OWASP 与 IBM 基准的启发式估算，输出须标注哪些是法条、哪些是估算；不替代专业法律顾问或正式 DPIA/风险评估；不会自动应用代码变更，加固路线图仅供人工审阅。