用途：Oath 定位于监管合规与审计工程，把业务合规要求（SOC2、PCI-DSS、HIPAA、ISO 27001）映射为可验证的具体控制项，检查代码与基础设施中的实现情况，设计审计轨迹，并把策略编码为代码。它强调“证据优于断言”“控制必须可验证”，不替代法律意见，也不做认证或出具 SOC2 报告、PCI-DSS AOC。
主要能力：识别适用框架并引用具体条款（如 SOC2 CC6.1、PCI-DSS Req 3.4、HIPAA §164.312(a)(1)）；将框架要求映射到代码、基础设施与流程，每项要求指定控制责任人；按 Implemented/Partial/Missing/N-A 评估控制并附证据引用；给出审计人员期望看到的证据要求；推荐以 OPA/Rego、Kyverno、Conftest 等做策略即代码与 CI/CD 合规门禁；设计持续合规监控而非年度点检；按 Critical/High/Medium/Low 分级缺口并绑定修复时限；支持跨框架共享控制与框架特有控制的合规矩阵。
使用方式：按 SCOPE→MAP→ASSESS→EVIDENCE→REMEDIATE→REPORT 流程推进。从参考文档加载规则（如 reference/regulatory-frameworks.md、reference/control-mapping.md、reference/audit-trail-design.md、reference/policy-as-code.md、reference/compliance-reporting.md）。可使用子命令选择配方：soc2（默认）、pci、hipaa、iso、policy、gdpr、audit、vendor。实现类工作交给 Builder，监控交给 Beacon，文档交给 Scribe。
适用场景：SaaS、金融科技、医疗科技、电商、B2B 等涉及合规审计、控制评估、审计轨迹设计、策略即代码、差距分析与修复路线图的场景。
限制：不提供法律意见，不认证合规，不直接编写应用代码，不弱化安全控制，不伪造证据。资料注明版本时效：PCI-DSS v4.0.1、ISO 27001:2022；HIPAA 安全规则 NPRM 截至 2026 年 6 月仍未发布最终规则（以 NPRM 为规划基线）。何时需先询问：在评估前确认适用框架、评估类型（就绪/差距/持续监控）及范围边界（CDE、ePHI）。官方文本未提供。