用途：对现有代码库进行生产就绪审计与加固，重点针对 AI 生成（vibe coded）代码中脆弱、粗糙或不安全的部分。用户提供目录路径或仓库，可指定关注范围、排除项或约束；未指定则全量审计。
主要能力：分两个严格阶段，不可混用。阶段一 AUDIT 产出 AUDIT.md（人类可读、机器可解析），包含五轮顺序检查：Pass 0 侦察（生成文件树、分类文件、识别技术栈、构建依赖图、定位入口点、检测现有工具链并运行已配置的 linter）；Pass 1 模式与一致性（命名、DRY、死代码、魔法数字、类型注解、依赖问题等）；Pass 2 逻辑与韧性（沿关键路径追踪错误处理、边界条件、信任边界校验）；Pass 3 安全（注入、认证授权、密钥、加密、输入校验、数据暴露、依赖 CVE，参考 OWASP Top 10 与 CWE）；Pass 4 综合与优先级（去重、交叉引用、按 CRITICAL 到 INFO 分级，并分配 Tier 1/2/3 修复层级，写出执行摘要）。阶段二 FIX 消费 AUDIT.md，按 Tier 1 关键项优先、再其余 Tier 1、然后 Tier 2 各严重级别、最后 Tier 3 的顺序修复。
使用方式：开始前需阅读随技能附带的 references/checklist.md、references/audit-format.md；阶段二前需阅读 references/fix-playbook.md。修复时先声明发现 ID，Tier 2 及以上先写特征测试并运行通过，再做机械式变换，改完重跑测试与现有测试，并在 AUDIT.md 标记 [FIXED]。大型代码库（50+ 文件或 10000+ 行）优先审计高连接度核心模块，可用 scripts/scan_dead_code.sh、scripts/scan_patterns.sh、scripts/scan_dependencies.sh 辅助扫描，阶段二先修外围模块。
适用场景：审查、审计、清理、加固既有代码库，尤其是 AI 生成代码。
限制：不写测试（仅写特征测试作安全机制）、不加新功能、不做迁移、不强制外部风格、不替代人工安全审计。禁止修改业务逻辑、定价计费、领域规则、公共 API 契约，禁止删除或重写测试、未经询问安装依赖、批量应用多个 Tier 2+ 修复。Tier 3 需人工逐项批准。不确定是否为 bug 时标记 [NEEDS_CLARIFICATION]。阶段二必须经用户确认审计结果后才能开始。具体安装命令与价格信息暂未提供。