用途：在安全审计前评估项目依赖风险，梳理供应链攻击面，识别无人维护或高风险依赖，用于供应链问题的前期范围界定。不适用于主动漏洞扫描（应使用 npm audit、pip-audit 等专用工具）、运行时依赖分析和许可证合规审计。
主要能力：按风险标准逐项评估依赖，包括单一维护者或小团队维护、项目停滞或已弃用/归档、GitHub 星标与下载量偏低、包含 FFI、反序列化或第三方代码执行等高风险特性、存在高危或严重 CVE、缺少安全联系人（如 .github/SECURITY.md、CONTRIBUTING.md、README.md 或官网未列出）。
使用方式：用户说“audit this project's dependencies”时激活。前置条件是确保 gh 工具可用，否则请用户安装。流程为：创建 .supply-chain-risk-auditor 工作目录，基于 results-template.md 建立 results.md；找出所有直接依赖的 git 仓库并规范化为 URL；用 gh 查询星标、未解决 issue 等精确数据（可用 ~ 表示约数）；将满足任一风险标准的依赖列入 High-Risk Dependencies 表并注明原因，低风险依赖不记录；为高风险依赖填写 Suggested Alternative 及简短理由；在 Counts by Risk Factor 表统计各风险类别数量，在 Executive Summary 总结整体安全态势，在 Recommendations 汇总建议。不要添加模板之外的小节。
限制：仅在任务明确匹配上述范围时使用；输出不能替代针对具体环境的验证、测试或专家评审；缺少必要输入、权限、安全边界或成功标准时应停止并请求澄清。