用途：审计软件供应链风险，重点在依赖、构建流水线与发布产物，而非一方代码漏洞。适用于评估第三方依赖风险、检查 CI/CD 与 GitHub Actions、排查可疑或恶意包、生成或复核 SBOM、加固构建来源与产物签名，以及响应已披露的上游投毒。
主要能力：区分已知漏洞依赖与恶意依赖两类风险；依赖审查可用 osv-scanner、trivy、grype、npm audit、pip-audit、cargo audit、govulncheck 等；恶意包需做行为审查，如检查 postinstall 脚本、混淆代码、导入时网络调用、凭据读取、维护者变更与包名相似度，并比对发布产物与仓库源码。
使用方式：锁文件需提交并在 CI 中从锁文件安装；用 rg 枚举内部包名检查公共注册表可用性以发现依赖混淆；pipelines 检查 pull_request_target、未固定 action、过宽令牌权限、脚本注入与密钥泄漏（gitleaks、trufflehog）。SBOM 用 syft 或 cdxgen 生成并定期用 grype、osv-scanner 重扫；签名与证明用 cosign。
限制：技能未提供具体收费或平台信息；恶意包扫描器通常无法检测首现即恶意的包；上游投毒响应中需假设构建主机凭据已泄漏并轮换。