用途：iblai-vibe-deslop 用于对现有代码库进行生产就绪审计与加固，特别针对“看起来能跑但脆弱、粗糙或不安全”的 AI 生成代码。用户提供代码库路径或仓库，可指定重点、排除项或约束；若未指定则全量审计。技能分为两个严格阶段，不允许混用：阶段一 AUDIT 产出 AUDIT.md（可人工审阅、机器可解析），阶段二 FIX 消费 AUDIT.md 并按安全顺序修复。
主要能力与用法：阶段一前必须先读捆绑的 references/checklist.md 与 references/audit-format.md，随后依次执行五轮：Pass 0 侦察，生成文件树、分类文件、识别技术栈与入口点、构建依赖图、检测现有工具链并按需运行 linter（如 npx eslint .、go vet ./...、cargo clippy），输出“代码库概览”。Pass 1 模式与一致性，检查命名违规、DRY 重复、死代码、魔法数字、缺失类型注解、依赖问题等。Pass 2 逻辑与韧性，从入口点追踪关键路径，检查错误处理、空值/边界、并发、信任边界校验和异步问题。Pass 3 安全，按 OWASP Top 10 检查注入、认证授权、硬编码密钥、加密、输入校验、数据暴露与依赖 CVE。Pass 4 综合与优先级，去重、交叉引用、划分 CRITICAL 到 INFO 严重级别，并按 Tier 1/2/3 标注修复风险。
阶段二：必须在用户确认审计后开始，且先读 references/fix-playbook.md。按修复顺序处理：Tier 1 先做且无需询问；Tier 2 先写 characterization 测试再改；Tier 3 逐项人工确认，不自动修复。每项修复须标注 finding ID、改后更新 AUDIT.md 并保持测试通过。守卫规则包括：不改业务逻辑、价格计费、公共 API 契约，不删除或重写测试，未经询问不安装新依赖，不因个人偏好重写可用代码，批量 Tier 2+ 修复须逐项跑测试。
适用场景与限制：适合审查、清理、加固 AI 生成或历史遗留代码库，尤其大代码库（50+ 文件或 1 万行以上）可用捆绑脚本加速扫描。它不写新功能、不做框架/语言迁移、不强制外部代码风格、不替代人工安全审计；审计不完整处会以 [NEEDS_CLARIFICATION] 标记。收费、平台等信息暂未提供。