用途：在测试用例设计之前先做风险分析，避免用例变成机械覆盖 API 参数，而是针对业务风险做防守性测试。产出是后续 qa-testcase-designer 的判断依据，每条 P0/P1 风险必须对应一条用例或一条明确记录的 open question。
主要能力：分析需求文档、代码 diff、已有用例和上下文，识别资金/权限/状态机/并发/异步/数据一致性等高危区域；输出每条风险的 businessPath、requiredAssertions、suggestedTestLayers；生成 coverageGaps 和 requiredOracles（按 ui、api、db、sideEffects、negativeAssertions 分类）；加载历史缺陷模式作为优先验证点。
使用方式：CLI 为 quality-assurance-agent/scripts/qa_agent.py，由 agent 执行。开工前解析 skill 目录，命令写成 python "$QA_AGENT_DIR/scripts/qa_agent.py" <cmd>。验收已有模块必须带 --module（逗号分隔目标代码文件）；开发新功能有 git diff 时不带 --module；裸跑会回退全仓库关键词扫描，结果不可直接使用。流程：前置检查 context.json 与 existing-case-index.json，加载 bug-pattern 知识，深入读代码做因果推理，运行 analyze-risks 产出骨架，再手工增强 businessPath、requiredAssertions、affectedFiles、coverageStatus，前端交互类风险标注 requiresE2E: true。category 只用固定枚举。产物落地 .qa-agent/current/risk-analysis.json，写完跑 check-mojibake --strict。
适用场景：已有模块验收、新功能开发带 git diff 的风险识别。
限制：不写用例、不写测试、不修改产品代码；不凭空断言 bug，仅有代码迹象时用 risk 或 potentialBug 措辞；不把工具裸跑结果当最终定论；不降级 P0/P1 风险；上游产物缺失需退回 qa-context-profiler；无法读代码时记录 blocker。具体命令语法见 $QA_AGENT_DIR/references/cli-reference.md。