用途：在设计与安全评审阶段，对 Navan 集成做威胁建模，范围覆盖身份、差旅、费用、支付、文件与下游系统，并在任何实际动作前产出可审计的决策或工件。
前提：需能访问所选租户当前的 Navan Help Center 与已签约的集成文档；指定差旅或费用流程的业务负责人与数据负责人；准备已去除密钥和旅客数据的非生产证据集。
主要能力：从 Navan 出发穿越每个处理者与目的地绘制信任边界；对凭证及旅客、行程、支付、收据、资料、位置数据分类；最小化字段、用途、目的地、保留期与人工访问；对凭证窃取、租户混淆、注入、重放、外泄及混淆代理路径建模；加入默认拒绝的网络、日志、工件与 AI 工具策略；测试检测、遏制、吊销、核对与通知路径。
用法与工具纪律：仅用 Read、Glob、Grep 检查文档、模式、配置、代码、固定装置与证据；仅对已批准的仓库工件使用 Write 和 Edit。仅调用本身不授权网络访问、凭证、旅客或费用数据、预订、支付、策略或身份变更、文件传输、部署或删除。新增处理者、第三方 AI 或 MCP 连接、更宽范围、生产密钥、跨境传输或敏感数据导出需安全与数据负责人批准。
限制：厂商的安全测试与加密控制不替代客户侧的最小权限、下游加密、保留、监控或第三方 AI 治理。错误处理上，默认不得将旅客或收据内容写入提示或日志；认证徽章不构成新用途授权；对租户、主机、身份或目的地存在歧义时应失败关闭。
输出：返回数据流图、威胁登记册、控制负责人、剩余风险、批准边界与验证计划，并明确标注假设、负责人、到期时间与证据缺口。官方供应商说明、具体命令与收费信息暂未提供。