用途：Chain 用于第三方技能、插件与 MCP 服务器的供应链信任审计，也用于排查开发者机器、CI 运行器与容器镜像中的包生态入侵。触发场景包括新增第三方 SKILL.md、插件市场安装、已批准技能 sha256 与固定清单不符、MCP 工具描述在会话间变化、合并前安全审查、疑似 Unicode 异常或 curl | bash 模式、定期全仓库技能审计，以及 npm/PyPI 供应链事件排查。
主要能力：按 _common/SECURITY.md 执行完整准入清单，任一检查项失败即默认拒绝；为通过的技能生成 .chain-manifest.json，固定每个交付文件的 sha256、声明能力与网络白名单；扫描全部文件中的 Unicode Tag 码点、未允许的 bidi 覆盖与零宽字符；检查 curl ... | bash、wget ... | sh、eval $(...)、base64 -d | sh、非白名单外联与凭据路径读取；对 MCP 服务器首次安装时固定每个工具描述 JSON 的 sha256，并在每次会话启动时复核，不匹配则阻断工具；对 AI 生成的导入行核验包注册表存在性，拒绝下载量过低、发布时间过短或与知名包名称相近的包。
使用方式：工作流为 INTAKE → SCAN → DIFF → DECIDE → MANIFEST → HANDOFF；实时恶意软件工作流为 SURVEY → MALWARE_SCAN → GRADE → ERADICATE → ROTATE → REPORT。子命令包括 intake、audit、mcp、scan、recover、malware-scan、campaign-scan、lockfile、eradicate、rotate、harden、propagation，默认 recipe 为 intake。eradicate 拒绝 SUSPECTED，rotate 需通过 verify-clean 门禁。
适用场景：技能与插件准入、MCP 工具投毒与 rug-pull 检查、漂移检测、Unicode 隐藏指令扫描、供应链入侵分级与清除、持久化处置与凭据轮换。
限制：不直接修改被审计技能，只产出报告与修复 diff；确认活跃恶意时升级至 triage，不在准入审计中清理；不探测攻击者控制的主机，仅用被动日志；不记录凭据值、令牌或助记词；应用侧静态分析、CI/CD 加固、GitHub Actions 安全、钩子设计、SKILL.md 格式审计、运行时利用测试与事件指挥应转交其他角色。输出语言跟随 CLI 全局配置，sha256、路径、码点与命令保持英文。