用途：对当前分支与合并基线（git diff origin/main...HEAD）做安全审查，前提是 Monty 会运行不可信、可能恶意的 Python 代码。可借助子代理运行 .agents/skills/fix-pr-comments/pr-threads.sh，核对 PR 上已提出的安全问题是否妥善处理。审查范围含改动代码及其被触及的调用方，即使未出现在 diff 中也算。
主要检查项：沙箱逃逸（挂载点外文件访问、路径穿越、符号链接越界、网络、子进程、导入系统滥用、回调误用、错误信息或时序泄漏）；内存错误（unsafe、引用计数错误导致的 use-after-free 或 double-free、未检查索引、别名违规、整数溢出影响长度或索引）；资源限制绕过（绕过 ResourceTracker 的分配、无 fuel 检查的循环、小输入引发大分配）；不可信输入仍须不可信（子进程线框是敌意的，解码与 proto→Rust 转换必须校验且不得 panic）；panic 或中止（可达的 unwrap/expect、栈溢出中止）；挂载逃逸（严重，挂载运行在连接沙箱的主机/客户端上）。按发生位置权衡严重性：池工作进程内可被隔离，而 host/parent 代码、monty-pool、monty-proto 解码、monty-fs、绑定或进程内嵌入方一旦出现同样问题会拖垮整个应用。crates/monty/src/heap.rs 与 crates/monty-fs/src/path_security.rs 是最关键文件。
输出要求：每项发现给出攻击方式、file:line、触发的沙箱 Python 或敌意帧、影响；尽量用 python-playground 演示而非断言；说明已检查且干净的区域。仅报告，除非用户要求修复。