用途：在开始新项目或不熟悉代码库时，快速了解项目约定并提示安全风险。
主要能力：第一步扫描根目录下的智能体指令文件（如 CLAUDE.md、AGENTS.md、COPILOT.md、.cursorrules、.clinerules）与配置目录（.claude、.cursor、.github、.pi），以及更深层的约定文件（.github/copilot-instructions.md、.claude/rules/、.claude/skills/、.claude/commands/、.cursor/rules/、.pi/skills/）。第二步读取并汇总关键约定：构建与运行（包管理器、开发命令、测试命令）、代码风格、架构模式、面向智能体的规则、可用命令与技能。第三步若发现 .claude/skills/ 等技能目录，建议将其注册到 .pi/settings.json（如 {"skills": ["../.claude/skills"]}），需先询问用户。第四步列出最容易被遗忘的 3 至 5 条约定（提交信息格式、必备共同作者行、强制测试模式、禁止模式、包管理器偏好）。第五步做安全与坏味道快速清扫：硬编码密钥与凭证、已提交的 .env、eval/exec/dangerouslySetInnerHTML/innerHTML、未参数化 SQL、依赖的 install/postinstall 脚本与未固定版本依赖、锁文件不一致、过宽的 CORS 与 CSP（unsafe-inline/unsafe-eval）、关闭 TLS 校验、仓库中的密钥/证书/数据库文件、.gitignore 覆盖情况。报告按 P0（立即危险）、P1（真实风险）、P2（值得知晓）分级，若干净则明确说明未发现问题。
适用场景：接手新仓库、审查陌生项目、准备引入智能体协作前的环境梳理。
限制：这不是完整安全审计，只是快速清扫；不应对测试中的 eval/exec、开发专用的不安全配置、无具体利用路径的理论问题、单纯过旧的依赖进行标记。资料未提供收费、平台与具体安装命令信息。