该技能用于对代码仓库或指定项目路径进行应用安全级威胁建模，强调结论须锚定仓库中的证据，并将假设显式列出，避免套用通用检查清单。
主要能力包括：识别组件、数据存储和外部集成，区分运行时行为与 CI/构建/测试工具；枚举信任边界、风险资产和入口点；校准攻击者能力并明确非能力项；以攻击者目标（数据窃取、权限提升、完整性破坏、拒绝服务）描述滥用路径；用可能性与影响进行定级，并给出聚焦具体位置和类型的缓解建议。
使用方式：先收集或推断仓库根路径与范围内路径、预期用途、部署模型、互联网暴露和认证预期，必要时借助 references/prompt-template.md 中的提示生成仓库摘要；随后按范围提取、边界与资产导出、攻击者能力校准、滥用路径枚举、优先级排序、上下文确认、缓解建议、质量检查的流程推进；中间需向用户提出 1–3 个针对性问题并等待反馈，最终按 prompt-template.md 的输出契约写成 Markdown 文件，命名为 <repo-or-dir-name>-threat-model.md。可参考 references/prompt-template.md 与 references/security-controls-and-assets.md，按需加载。
适用场景：对具体仓库或子路径做安全评审、设计评审前的威胁梳理。限制：不得在无证据时声称组件或控制存在；用户未确认的假设须标注，相关建议应标记为有条件；具体安装命令、收费与平台信息暂未提供。