用途：对代码变更、功能或子系统进行以威胁模型为驱动的安全审查，运行 STRIDE 风格检查（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升），并在涉及 Web 面时交叉核对 OWASP 常见问题。适用于触及认证、授权、会话处理，用户输入流向数据库、文件系统或 shell，新增外部暴露面（HTTP 端点、Webhook、IPC 边界），密钥处理、环境变量变更、加密代码，功能或里程碑发布前审计，以及疑似漏洞响应。不适用于一般代码审查（用 review）或性能审计（用 code-optimizer）。
主要能力与方式：先确定审查范围（最近 diff、指定子系统或用户关注点），范围模糊时提 1–3 个澄清问题；随后梳理攻击面，识别范围内所有不可信入口点及其可达者；接着逐个攻击面走 STRIDE，必要时可用 Explore 子代理并行处理；Web 范围再核对注入、XSS、SSRF、不安全反序列化、路径穿越、开放重定向、对象级访问控制缺陷（IDOR）、CSRF 等；对每个发现定级严重性、可利用性与业务影响并排序；最后按模板输出报告，含摘要、发现、已排除项、范围外内容，并提供后续建议。
核心原则：代码先于清单，须指出实际输入源、校验（或缺失）与汇点，每个发现引用 file:line；威胁须具体可操作而非假设；审查期间只读，不修改代码，保持审查者与作者分离。
限制与注意事项：每个发现须有具体利用场景；需说明严重性、可利用性与业务影响；至少列出一条被排除项；不修改代码；严重发现应通过合适的披露渠道处理，公开仓库建议提私有安全公告而非公开 issue，敏感发现留在 .gsd/security-reviews/，先查看仓库安全政策。避免通用清单、无代码的假设漏洞、把理论问题都当严重、跳过可达性判断等反模式。