用途：这是 hve-core 中 VEX 操作的入口技能，把 OpenVEX v0.2.0 规范参考与可复用的管理手册结合，用于实施、审查和验证 VEX 文档。规范参考是模式、状态逻辑和公开来源指引的权威依据。
主要能力：提供可复用流程、变更规则和审查标准；检测、起草与证明由工作流负责自动化，CVE Analyzer 子代理执行逐 CVE 的可利用性分析。
使用方式：在目标项目中实施 VEX 时，在 security/vex 下搭建 VEX 文档，接入 vex-detect 与 vex-draft 工作流，引用 assets/pr-body-scaffold.yml 中的 PR 正文脚手架，连接专用的可复用 VEX 证明工作流以生成来源与 OpenVEX-over-SBOM 证明，并在 VEX 文档上设置 CODEOWNERS。详细规则见 references/vex-status-logic.md 与 vex-standards.instructions.md。审查时评估状态判定与证据、置信区间，遵守文档变更与禁止转换契约，并验证发布证明输出；证明生成由专用工作流负责，而非审查者。
状态：not_affected（不可利用，需 justification 或 impact_statement）、affected（可利用，需 action_statement）、fixed（已修复）、under_investigation（调查中，不确定时的安全默认）。not_affected 的 justification 代码包括 component_not_present、vulnerable_code_not_present、vulnerable_code_not_in_execute_path、vulnerable_code_cannot_be_controlled_by_adversary、inline_mitigations_already_exist。产品标识使用 PURL 格式，如 pkg:npm/@microsoft/hve-core@3.10.0。
限制：资料未提供具体安装命令、收费信息或平台支持范围；即将推出的 tested gate 模块与测试将位于本技能中，目前暂未提供。