用途：对开发者工作站做多阶段安全审计，适用于怀疑机器被入侵、想排查泄露的密钥凭据、听说供应链攻击后自查，以及事件后规划凭据轮换。不适用于代码级安全审查、依赖漏洞审计、OWASP Web 应用审计或运行时应用安全测试。
主要能力：按阶段顺序执行。阶段0依据 references/cases/ 案例库做供应链 IoC 排查，检测平台、加载案例目录、判断产品是否安装并运行检测命令，输出 case_id、status（COMPROMISED/INCONCLUSIVE/CLEAN/NOT_INSTALLED）与 confidence。阶段1扫描云与基础设施凭据（AWS、GCP、Azure、Kubernetes、Terraform、Docker）、开发工具令牌（SSH、Git、gh、glab、npm、GPG）及应用密钥与历史，含 shell 历史与 .env 文件，并给出 OpenAI、Anthropic、GitHub、GitLab、AWS、HuggingFace、npm、Docker Hub、Slack、Stripe、Firebase、JWT、Vercel、Supabase 等令牌正则。阶段2检查 Electron 应用 LevelDB 与浏览器 Login Data、Cookies、macOS Keychain。阶段3检查 LaunchAgents、LaunchDaemons、cron、systemd、Windows 计划任务与注册表 Run 项等持久化机制。阶段4生成报告。
使用方式：按阶段顺序运行，可并行扫描但需统一输出格式并按路径、指标类型、令牌前缀去重；展示令牌时部分脱敏（前8后4）。报告用 mktemp 写入临时文件并 chmod 600，示例路径 /tmp/security-audit-<主机名>-<时间戳>.md。清理前须先归档证据。
限制：仅覆盖用户空间可读数据与已知案例；Keychain、加密钱包、浏览器密码等属中风险，需解锁会话才可能被利用；Windows 部分命令需用户自行执行；具体案例库内容、修复步骤与平台支持细节以 references/ 文件为准，资料未提供完整清单。