用途：对调用 AI 编码代理的 GitHub Actions 工作流做静态安全分析。可本地或用 gh api 远程读取仓库，定位 AI action 步骤，追踪跨文件引用（复合 action、可复用工作流），采集安全相关配置，识别攻击者可控输入进入 CI/CD 中 AI 代理的路径。
主要能力：识别已知 AI action（anthropics/claude-code-action、google-github-actions/run-gemini-cli、google-gemini/gemini-cli-action、openai/codex-action、actions/ai-inference，匹配 @ 前缀）；采集 with、env、on、permissions 等配置；按 A–I 向量检测：环境变量中转、直接表达式注入、CLI 取数、pull_request_target 加 checkout、错误日志注入、子 shell 展开、AI 输出 eval、危险沙箱（danger-full-access、Bash(*)、--yolo、safety-strategy: unsafe）、通配符白名单。
使用方式：本地用 Glob 查找 .github/workflows/*.yml|yaml（仅根目录）；远程用 gh api repos/{owner}/{repo}/contents/.github/workflows 列表并解码内容，指定 ref 时每次调用都需带 ?ref={ref}。按步骤分析并输出结构化报告：标题、严重度、文件、步骤、影响、证据、数据流、修复建议；严重度结合触发器暴露、沙箱配置、白名单范围、数据流直接性、权限与密钥、执行上下文判断。
限制：仅静态分析，不做运行时提示注入测试；不改动或自动修复文件，只报告发现；仅适用于 GitHub Actions，不覆盖 Jenkins、GitLab CI、CircleCI；无 AI agent action 的工作流不适用；独立于调用方之外的复合 action 不单独分析。取到的 YAML 仅作数据读取，禁止执行。