用途：为 Hack23 各项目提供系统化的漏洞主动发现、修复与安全沟通流程，SLAs 与业务影响对齐。
主要能力：按 CVSS 分级设定 SLA—Critical 9.0-10.0 为 7 天并立即上报 CEO；High 7.0-8.9 为 30 天并 1 天内上报 CEO；Medium 4.0-6.9 为 90 天每周复核；Low 0.1-3.9 为 180 天每月复核。检测源要求在所有仓库启用 GitHub Dependabot、CodeQL、Secret Scanning 及适用时的 OWASP Dependency Check。
漏洞生命周期：发现阶段须启用自动扫描并在 24 小时内处理告警；评估阶段须评估 CVSS、可利用性、攻击面与数据暴露，考虑上下文风险并记录评估；修复阶段优先补丁与版本升级，使用 security/CVE-YYYY-XXXXX 分支，提交信息包含 CVE 与 CVSS，合并前用扫描器验证；验证阶段确认已解决且未引入新漏洞并通过现有测试；关闭阶段记录变更日志、关闭 GitHub Security Advisory，对 Critical/High 做经验总结。
风险接受：须 CEO 批准、最长 90 天、包含补偿控制、登记于风险登记册并每月复核。合规映射包括 ISO 27001:2022 A.8.8、NIST CSF 2.0 DE.CM-8 与 ID.RA、CIS Controls v8.1 Control 7、OWASP Top 10 A06:2021。
限制：具体工具配置与实施细节暂未提供。