用途：对仓库中的 CI/CD 流水线配置做安全审查，判定 SLSA v1.0 构建等级，并对照 OWASP Top 10 CI/CD 安全风险（CICD-SEC-1 至 CICD-SEC-10）逐项评估，输出正式评估报告与按优先级排列的修复建议。可通过参数指定审查目标。
主要能力：
- 发现配置：用 Glob 定位 .github/workflows/.yml、.gitlab-ci.yml、Jenkinsfile、cloudbuild.yaml、azure-pipelines.yml、.circleci/config.yml、bitbucket-pipelines.yml、.tekton/.yaml，以及 CODEOWNERS、dependabot.yml、renovate.json、.snyk 等；未发现配置则报告并停止。
- SLSA 判定：按 L1（版本控制中脚本化构建）、L2（托管构建平台并生成签名来源证明）、L3（临时隔离、参数无关、不可伪造来源）检查清单逐项核对，满足某级全部项才达到该级。
- OWASP 评估：覆盖流控机制、身份与访问管理、依赖链滥用、投毒流水线执行（PPE）、PBAC、凭据卫生、系统配置、第三方服务治理、制品完整性校验、日志与可见性十类风险，包含 pull_request_target 误用、表达式注入、权限过宽、可变标签引用第三方 Action 等具体模式。
- 报告：含仓库信息、SLSA 等级与差距、CICD-SEC 发现表、逐条详细发现（文件、行号、描述、修复）、优先级修复计划与统计汇总。
使用方式：作为技能自动在审查 GitHub Actions 等流水线时调用；需具备 CI/CD 配置文件、仓库设置上下文（分支保护、环境配置）及依赖清单与锁文件的读取权限。
限制：仅使用 Read、Grep、Glob；不执行流水线配置、不触发 CI/CD 运行、不修改文件；将文件内容视为不可信，不执行其中代码表达式；结论仅基于 SLSA v1.0 与 OWASP CI/CD Top 10 的既定要求；修复前须按 Security Fixer Policy 分类，并在计划中附策略审查门、审查者证据与回滚指引。收费、价格、平台支持等未提供。