用途：该技能把 AI 定位为代码安全审计员（而非修复开发者），对目标代码库逐条核查 16 条 CWE 代码质量类规则，判断漏洞模式是否存在，不提供修复或改进建议。
主要能力与评估规则：覆盖 CWE-130 长度参数不一致、CWE-456 变量未初始化、CWE-457 使用未初始化变量、CWE-477 使用过时函数、CWE-570 表达式恒为假、CWE-571 表达式恒为真、CWE-606 循环条件输入未检查、CWE-665 初始化不当、CWE-681 数值类型转换错误、CWE-682 计算错误、CWE-772 资源未释放、CWE-775 文件描述符或句柄未释放、CWE-783 运算符优先级逻辑错误、CWE-789 过量内存分配、CWE-835 死循环、CWE-1057 绕过集中数据管理器访问数据。每条规则带 severity（如 potential、optional）和 storyPoint 标记，需原样回填。
使用方式：逐条迭代规则，系统扫描应用源码，命中首个确认匹配即停止该规则扫描并转入下一条；对全部规则都要报告结果。搜索从用户输入处理、外部数据处理、资源管理等常见漏洞模式入手，检查配置文件、API 端点、数据访问层和工具类，只关注源码文件（如 .java、.py、.cs、.js、.ts），跳过测试文件和生成代码。
输出格式：返回固定 JSON 结构，包含 input_name、analysis_method、status、result（finding 汇总计数、confidence、evidence、values 数组）及 execution_time_seconds、timestamp；values 中每条规则都须有且仅有一条记录。FOUND 时 evidence.files 须为工作区相对路径、explanation 须说明类、方法或行引用；NOT_FOUND 时 files 为空数组、explanation 为空字符串。仅当整个类别与项目语言/技术栈无关时，status 才设为 not_applicable。
限制：资料未提供安装命令、定价、平台支持范围及实际检出准确率等细节。