用途：面向未知二进制文件（PE、ELF、Mach-O、固件镜像）的静态分析规划，帮助判断何时做初步筛查、何时深入分析，并产出可审计报告。所有操作通过确定性、非交互的 binary CLI 完成，不直接调用 Ghidra API。
主要能力（设计意图）：环境检查与依赖引导（binary doctor、binary bootstrap）、项目管理（binary project create/import/clean/status）、初始分析（binary analyze）、证据收集（triage、suspicious-apis、capability-map、metadata、sections、entrypoints、imports、exports、strings、functions、decompile、disassemble、xrefs、callers、callees、callgraph、trace）、报告导出（binary export-report）。
实现状态：本版本不提供实时 Ghidra 分析。导入、分析、元数据、结构/函数查询、搜索、筛查和报告生成都会以显式后端错误停止；安装依赖无法让未完成的适配器可用。项目管理与依赖诊断仍可用。生产 CLI 不加载 FakeAdapter，测试显式注入；没有 fixture/demo 开关或环境变量覆盖。
使用方式：按阶段执行——环境检查（binary doctor --json，必要时 binary bootstrap --plan/--apply --json）、项目创建与导入、初始分析、按问题选择证据收集命令、最后导出报告。需区分 CLI 证据与 Agent 推断，标注置信度（HIGH/MEDIUM/LOW/UNKNOWN），并记录项目 ID、SHA-256、适配器与后端版本。
适用场景：用户提供二进制文件询问其行为、导入 API 或是否可疑；请求反编译、反汇编、调用图或交叉引用分析；需要结构化筛查报告、可疑 API 分析或能力映射；比较两个二进制、验证导出表或按模式提取字符串；搭建分析工具链或管理分析项目。
限制：仅静态分析，不做运行时/动态分析、调试、沙箱执行或进程监控；不做二进制补丁或修改；不做源码分析；不做网络取证或 PCAP 分析；不做实时内存取证。CLI 强制安全边界：不执行目标、不加载为库、不开放网络监听、不上传哈希或样本、路径包含校验、输出大小限制（默认 64 MB，最大 256 MB）、内存限制、超时（默认 300s）、结果分页（默认 100，最大 1000）、调用图深度上限 10。遇到后端错误应停止并说明限制，不得将旧 fixture 报告当作证据。