该技能适用于授权安全研究场景，帮助研究人员从厂商安全公告和补丁中定位具体漏洞修复，并针对修补前版本构建 N-day PoC。使用前必须获得系统所有者明确书面授权，且默认在离线样本上静态分析。
主要能力包括：从 Windows 更新目录或 Linux 发行版仓库获取补丁前后二进制；使用符号服务器或迁移旧版符号；通过 BinDiff、ghidriff 或 Diaphora 进行函数级二进制 diff；过滤中等相似度函数定位新增检查（如边界检查、锁、引用计数、内存清零等）；反推漏洞类型（整数溢出、竞争条件、越界读写、UAF、信息泄露等）；在修补前版本上编写并验证 PoC，确认修补后版本不再触发。
使用方式上，流程分为五步：获取修补前后二进制并解包；对齐符号；运行二进制 diff 工具；定位变更并反推漏洞类型；编写 PoC 并在隔离环境验证。该技能强调必须设置确认关卡，在执行任何探测、利用或数据提取命令前，需用户明确目标、确认书面授权范围、展示具体命令并等待确认，否则仅提供只读防御性指导。
适用场景包括：将厂商安全公告转化为具体漏洞函数定位；为已修补漏洞构建授权研究用 PoC；跟进 Patch Tuesday 补丁锁定高价值漏洞；分析 Linux LTS 分支补丁覆盖情况；还原闭源驱动或服务的安全补丁。
限制包括：仅限授权研究；当厂商在版本间大量重构时 diff 可能失效；修补版本不崩溃与未修补版本崩溃只能支持有限差异，需同条件重复和调试器根因分析；工具缺失时不得假装已提供；公开 PoC 或外发二进制需额外授权。