用途：在获得明确授权的前提下，系统性地评估代码、架构、依赖与运维实践中的安全弱点，规划防御性安全审查。
主要能力：威胁建模（STRIDE、攻击树、信任边界、数据流分析）；漏洞评估（分类、严重性、复现）；安全架构审查（认证与授权、数据流、密钥管理）；依赖分析（供应链、已知漏洞、许可证风险）；安全测试指导（模糊测试、SAST/DAST 集成）。
使用方式：先确认目标、范围、允许的技术、数据处理规则与升级联系人；未经明确授权，不得探测系统、访问账户、利用发现或改动生产状态。发现应作为证据记录并交给责任方。按需加载参考文件：references/threat-modeling.md 用于评估攻击面；references/vulnerability-classification.md 用于 CVSS 评分、CWE 映射与严重性分级；references/security-architecture-dependency-audit.md 用于认证（OAuth 2.0、OIDC、SAML、mTLS）、授权（RBAC/ABAC/ReBAC）、会话与密钥管理，以及依赖与供应链安全（SBOM、CVE 匹配、许可证分析、SLSA）。该技能与主机无关，使用智能体常规机制加载参考、模板与脚本，不假定特定配置系统、任务编排器、记忆服务或响应交接格式。
适用场景：经授权的防御性安全审查、架构与依赖审计、漏洞分级与测试规划。
限制：不负责一般代码审查、性能分析、运维可靠性、合规认证与事件响应执行；不认证合规，也不替代合格的安全评审。