用途：面向代码库与系统开展安全架构评审与威胁建模，重点覆盖 Web 应用、API 认证、依赖供应链，以及 AI/智能体系统的特有风险。
主要能力：
- STRIDE 威胁建模（仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升），并针对 AI/智能体系统扩展目标劫持、记忆投毒、工具滥用。
- OWASP Top 10 2025 分析，含两项新类别：A03 软件供应链失效、A10 异常条件处理不当，以及 A01 访问控制（含 SSRF）、A02 安全配置错误等逐项检查要点。
- OWASP Agentic AI Top 10（ASI01-ASI10），含目标劫持、工具滥用、身份与权限滥用、供应链、意外代码执行、记忆与上下文投毒、代理间通信不安全、级联故障、人机信任利用、失控代理及其缓解措施。
- 供应链安全：SBOM、锁定文件校验、私有命名空间防依赖混淆、审核 postinstall 脚本、固定版本与哈希/签名校验、CVE 监控、CI/CD 分离职责与制品签名。提供命令示例：npm audit --audit-level=high（或 pnpm audit）。
- 现代 API 认证：OAuth 2.1（移除隐式与 ROPC，强制 PKCE、精确重定向 URI、发送方约束令牌）、DPoP（RFC 9449）、Passkeys/WebAuthn（FIDO2）注册与认证接口用法。
- 安全代码审查：SQL 注入、硬编码密钥、shell 注入、错误时放行（fail open）等常见问题的对比示例与修复方向。
- 认证与授权核查：会话管理、JWT 校验、RBAC、防钓鱼 MFA。
- 输出安全评估报告，按严重级别列出发现、风险与修复建议。
使用方式：作为安全审计技能，按步骤应用于指定代码路径或系统（如对 src/auth/ 进行认证流程审查），在 AI/智能体项目中叠加 ASI01-ASI10 评估。
适用场景：代码安全评审、架构威胁建模、依赖与 CI/CD 供应链加固、API 认证现代化改造、AI 代理与 LLM 应用安全评估。
限制：资料未提供具体安装方式、定价、平台支持范围或运行环境要求，暂未提供；部分缓解措施依赖外部工具（Socket.dev、Snyk、Aikido、Dependabot 等）需另行配置。