用途：对 SaaS 应用执行以 OWASP Top 10 2021 为核心的安全审计，评估代码中的漏洞、错误配置与安全反模式，独立于功能正确性和代码风格。仅做分析，识别漏洞、说明影响并给出修复建议，不修改代码。
主要能力：覆盖 A01 访问控制失效、A02 加密失败、A03 注入、A04 不安全设计、A05 安全配置错误、A06 过时组件、A07 身份认证失败、A08 软件与数据完整性失败、A09 日志与监控失败、A10 SSRF。强调反幻觉：报告前必须阅读代码，每条发现需含 file:line 与代码片段，不编造 CVE，不报理论风险，不确定时标注不确定，只审计指定范围。
使用方式：可传入路径参数限定审计范围，未提供则审计当前目录整个项目。用 TaskCreate 跟踪阶段，并行运行 OWASP 审查代理，并配合自动化扫描：Node.js 项目运行 npm audit --json 2>/dev/null；Python 项目运行 pip-audit 2>/dev/null || safety check 2>/dev/null 与 bandit -r . -f json 2>/dev/null。结果合并写入 docs/security-report.md。还会用 Grep 搜索硬编码密钥，如 pattern="(api_key|secret|password|token)\s*=\s*['"][^'"]{8,}"、pattern="sk-[a-zA-Z0-9]{20,}"、pattern="AKIA[0-9A-Z]{16}"，硬编码凭据按 CRITICAL 报告。
限制：存在阻断规则，若发现任何 CRITICAL 或 HIGH 级别问题，审计不得标记完成，需修复后重跑验证，或用户显式确认接受风险。Stop 钩子会校验报告存在、覆盖全部 OWASP 类别、无未处理的高危发现且已设置总体风险等级。该技能依赖支持 skills.sh 标准的 AI 智能体平台，具体平台兼容范围暂未提供。