用途：对当前机器做供应链攻击取证扫描，覆盖 Shai-Hulud SAP/BUN 波次、Mini Shai-Hulud TanStack 波次及进行中的变体，检测持久化、钩子注入、被投毒包、IOC 字符串与 C2 通信。
主要能力：扫描本机或经 SSH 并行扫描多台机器；识别已知恶意文件、C2 域名、代码 IOC 字符串、被投毒 npm/PyPI 版本；按退出码判定结果（0 干净、2 警告、1 已失陷）；提供分阶段交互式修复指引。
使用方式：/supply-chain-audit 扫描当前机器；/supply-chain-audit --quick 快速扫描（跳过 git 与 IOC 字符串）；/supply-chain-audit remediate 进入交互式修复。扫描脚本位于 $HOME/.claude/scripts/supply-chain-audit.sh，可用 bash "$SCRIPT" 执行，--quick 时用 QUICK=true bash "$SCRIPT"，--all-machines 时通过 SSH 并行运行。
修复顺序关键：先 Containment（终止 watcher 进程、删除持久化文件、禁用 systemd/LaunchAgent，且不要立即删除恶意 GitHub 仓库而是先私有化并移除 runner），再 Eradication（清理 node_modules 与 npm 缓存、删除注入工作流、检查 .claude/settings.json 钩子、用 pnpm install --frozen-lockfile 或 uv sync --locked 安全重装），之后才做凭证轮换（npm token、GitHub PAT、AWS、其他云凭证、SSH 密钥），最后重跑扫描确认 EXIT 0。
限制：资料未提供该技能的安装方式、收费、平台支持范围与效果保证；修复步骤涉及删除文件与轮换凭证，需谨慎执行，且资料提示存在 dead-man's switch，撤销令牌前必须先移除 watcher。