用途：该技能固化了 2026 年从源码到运行负载的安全实践，覆盖流水线加固、依赖与制品供应链、构建完整性、分析门禁、IaC/部署安全与运行时策略执行。定位为防御性，每条规则用于防止特定类型的真实攻破。
使用方式：任务开始时须显式选择一种模式。BUILD 模式用于创建或扩展流水线、Dockerfile、Terraform、GitOps 配置或依赖工具，须先识别任务涉及的阶段（源→CI→构建→制品→部署→运行时）并阅读对应规则文件，默认采用可用方案中最严格的选项（只读令牌、OIDC 替代存储密钥、SHA 锁定、摘要锁定、冻结锁文件安装、非 root distroless 运行时），放宽须附书面理由。AUDIT 模式用于审查现有流水线、工作流、Dockerfile、IaC 或依赖状况，逐一走查各规则文件末尾的安全检查清单，并按指定格式报告。
主要能力：提供严重度约定（Critical/High/Medium/Low，按可达性与后果判定）、发现报告格式（含文件、问题、攻击路径、修复、规则出处），审计结尾须给出各级别计数、按风险收益排名的前三项修复及范围外事项。规则索引涵盖流水线安全、来源与签名、依赖、惰性依赖、构建容器、分析门禁、有效门禁、门禁失败后处理、IaC 部署、运行时运维、注册表安全、SCM/CI 平台治理、漏洞修复、SBOM 组件清单、依赖引入等文件，并列出十条不可妥协项，例如工作流顶层权限最小化、使用 OIDC 取代长期云凭证、按提交 SHA 锁定第三方 action 与基础镜像、不将不可信 PR 代码与密钥组合、不在 run 脚本中插值不可信表达式、提交锁文件并冻结安装、安全门禁须为失败即阻断的必需检查、一次构建以同一摘要晋级、Terraform 状态视为机密、生产准入须验证来源并强制非 root 与摘要锁定；若用户要求违反这些项，须实现安全替代并说明差异，仅在其明确确认风险后才遵从。
适用场景与限制：适用于构建或审计 CI/CD、GitHub Actions 工作流、容器、IaC 与依赖供应链安全。资料未提供具体安装命令、收费信息与平台限制，暂未提供。