用途：对项目依赖做安全审计，覆盖漏洞扫描、许可证合规与陈旧度三个维度。该技能只做分析，不触碰代码或锁文件，也不会自动安装升级包或缺失的审计工具，缺失的工具会报告为不可用。所有结论须引用工具实际输出中的包名、版本与 CVE 编号，不得估算或编造。
主要能力：先检测项目使用的包管理器与技术栈（Node.js、Python、Rust、Go、PHP、Ruby、.NET、Java/Kotlin 等），读取清单了解直接依赖、开发依赖、锁文件与 monorepo 结构；再对每个包管理器运行原生审计命令，并行执行并保存原始输出；随后从漏洞、许可证、陈旧度三方面分析，读取锁文件获取传递依赖细节，给出带证据的结构化发现与风险等级（Critical/High/Medium/Low）；最后去重、交叉引用并按综合风险排序，按安全补丁、破坏性升级、替换废弃包分组，输出统计与 Markdown 报告，并在呈现前做质量校验。
使用方式：默认三个维度全跑，严重级别为中等及以上；用户可指定只查某一维度或按严重级别过滤。默认在当前上下文顺序完成三遍分析，仅在审计输出异常庞大（多生态 monorepo 或超出上下文预算）时才并行派发 Explore 智能体；无子智能体工具时始终顺序执行。
适用场景：需要快速了解项目依赖安全与合规状况、生成依赖审计报告时。
限制：仅静态分析，无法检测仅运行时出现的漏洞；准确性依赖已安装的审计工具及其数据库；许可证检测依赖可能不完整的包元数据；不支持私有仓库；部分生态的传递依赖漏洞数据有限；新 CVE 披露后可能需 24-48 小时才进入审计数据库。