用途：用于防御性安全调查，研究开源供应链攻击，如依赖混淆、维护者账号被接管、强制推送隐藏提交、凭证泄露等。框架改编自 RAPTOR 取证系统，通过多智能体分工完成从证据收集到报告生成的流程。
主要能力：7 阶段流程包括初始化、提示解析与 IOC 提取、并行证据收集、证据整合、假设形成、假设验证和最终报告生成。证据来源分为本地 git 仓库、GitHub REST API、Wayback Machine CDX API、GH Archive/BigQuery 以及 IOC 富化。可恢复被强制推送删除的提交、检测悬空提交、识别可疑二进制文件、交叉比对归档与 API 差异。
使用方式：先创建调查目录并初始化证据库，命令如 mkdir investigation_$(echo "REPO_NAME" | tr '/' '_')、python SKILL_DIR/scripts/evidence-store.py --store evidence.json list，并复制报告模板。随后按阶段执行，各子智能体严格限定单一数据源，不得混用。BigQuery 查询前必须使用 --dry_run 估算成本，并用 _TABLE_SUFFIX 限制日期范围。
限制与约束：所有结论必须引用证据 ID（EV-XXXX），未验证推断须标记 [HYPOTHESIS]；提交 SHA、URL 等需至少两个来源交叉确认；禁止在本地运行被调查仓库中的代码，只能静态分析或在沙箱中执行；发现的密钥、令牌须在报告中脱敏为 [REDACTED]。BigQuery 需 Google Cloud 凭证，不可用时跳过并注明。该技能仅限防御性安全调查，不得用于骚扰、人肉、未授权竞争情报或未经证实的指控。具体脚本参数、模板细节和完整事件类型以技能目录内文件为准。