用途：该技能用于安全规划与计划漂移分析，供 Security Planner、Security Reviewer 和 Code Review 使用。适用场景包括应用组件安全分桶、STRIDE 威胁分析（raiEnabled 为 true 时含 AI 扩展）、桶发现到标准与控制族映射、安全待办优先级与 RAI 工作项分类，以及 TM7 威胁模型生成。
主要能力：一是计划漂移分析，仅在已有基线计划和当前发现时进行，只关联已提供证据，不扫描、不验证发现、不重评严重度、不修改源文件或计划工件。二是 TM7 生成，可从 YAML/JSON 规格生成 .tm7 与 Markdown 双输出，支持 --update 更新已有模型，入口为 scripts/generate_tm7.py 与 generate_markdown.py，可用 --template 选择模板。
使用方式：漂移分析通过 drift-input-contracts.md 提取基线，按 drift-comparison-model.md 分类，按 drift-report-contract.md 渲染。默认排除 .copilot-tracking/、docs/planning/、docs/adrs/、.github/agents|prompts|instructions|skills/ 及 .prompt.md、.agent.md、*.instructions.md、SKILL.md，可用 scope= 覆盖。原生 TM7 视觉反馈默认关闭，需 Windows 与 Microsoft Threat Modeling Tool 7.3.51110.1，用 validate_tm7_with_tmt.py 加 --feedback-loop、--spec、--overlay-output 启用，循环上限为基线加最多三轮。
限制：该工具仅为辅助，不提供法律、法规或合规建议，输出必须由合格安全与合规人员独立复核；证据不完整、范围不足或格式漂移时应停止相关结论，不得将抑制类别报为零发现。内部数据分类、内部认证服务名等组织专属信息由私有配置覆盖提供，不内嵌于技能中。