用途：容器与 Kubernetes 安全评估的轻量路由技能，按需加载参考、工作流或载荷文件，不一次性读取全部内容。
主要能力：扫描 Docker/OCI 镜像 CVE（单镜像或流水线）；生成或证明 SBOM（Syft/CycloneDX/SPDX）；跨版本 SBOM 差异比对以标记新引入 CVE；审计在线 K8s 集群（CIS/NSA/MITRE）；映射 K8s RBAC 并查找提权路径；审查 NetworkPolicy 覆盖；编写 Falco/Tetragon 运行时规则；分析或测试容器逃逸向量（仅限授权）；Docker 守护进程与主机加固审查。
使用方式：按决策树选择目标——已构建/仓库镜像走 workflows/image_scan.md，两镜像比对走 workflows/sbom_diff.md（旗舰）；Dockerfile 源码走 examples/vulnerable_dockerfile.md 配合 hadolint；在线集群走 workflows/cluster_audit.md，可细分 RBAC、网络策略、CIS 基准；运行时监控走 references/runtime_security.md；授权逃逸测试走 references/container_escape.md。可并行执行 Trivy、Grype、Syft、Hadolint 等无状态扫描；Cosign 证明、跨扫描器 CVE 合并、发现输出需串行。多镜像/多集群可派生子代理。所有发现须符合 schemas/finding.json，含镜像摘要、标签、集群、命名空间、资源类型、服务账号、CVE、CVSS、修复版本、CIS 控制项及 sbom_diff 块。
适用场景：镜像与集群安全评估、SBOM 差异追踪、RBAC 提权分析、运行时检测规则编写。
限制：不用于部署前 K8s YAML/Helm/Kustomize 静态扫描（用 iac-security）、Terraform/云配置错误（iac-security）、托管 K8s 控制面或云 IAM（cloud-security）、容器内应用代码漏洞（sast-orchestration）、源码级第三方库 CVE（sca-security）、容器化服务 API 端点（api-security）。逃逸测试仅限授权。工具安装命令保持原样，如 brew install trivy、brew install grype、brew install syft、brew install hadolint、brew install kube-bench、brew install cosign、brew install crane、pip install kube-hunter 等。最低工具版本与最后验证时间见资料，未提供收费与价格信息。