用途：在 /workspace/repo 的真实项目检出上运行 DeepSec，把手工流程变成可重复的 dev3000 运行，用于一键初始化、项目上下文引导、有界首轮处理与生成发现报告。
主要能力与流程：先检查项目形态，读取 README.md、AGENTS.md 或 CLAUDE.md，浏览认证、中间件、请求处理、数据访问、计费、webhook 等安全敏感边界。若 .deepsec/ 不存在，运行 npx --yes deepsec@latest init；已存在则不要强制覆盖。随后在 .deepsec/ 下运行 corepack pnpm install，并确保 DeepSec 实际使用的 Claude Agent SDK 原生二进制可用，不要运行 Claude Code postinstall。接着读取 .deepsec/node_modules/deepsec/SKILL.md 与 .deepsec/data/<id>/SETUP.md，用简洁的项目上下文替换 INFO.md，控制在约 50-100 行，每节 3-5 个示例，命名本地原语，不写行号、通用 CWE 列表或宽泛框架总结。然后运行 corepack pnpm deepsec scan，再执行有界 AI 处理：corepack pnpm deepsec process --limit 25 --concurrency 2 --batch-size 3。最后运行 corepack pnpm deepsec export --format md-dir --out ./findings 生成报告；无发现时创建 .deepsec/findings/README.md 说明本次有界扫描无发现并列出实际命令。
限制与注意：默认是有界首轮，不要运行无界进程或重新验证命令，除非用户明确要求完整扫描。不要把 AI 凭据写入 .deepsec/.env.local 或任何被跟踪文件，凭据由 dev3000 运行时通过进程环境传递。生成的扫描状态应放在 DeepSec 已 gitignore 的位置，只提交持久化设置/上下文文件与人类可读发现报告。把 DeepSec 视为有 shell 访问权限的编码代理，不要对不可信源输入运行。process 失败时停止并报告，不要用正则候选生成手工回退报告。验证优先使用 DeepSec 自身命令输出、corepack pnpm deepsec status 和生成的发现文件；除非用户明确要求视觉/运行时验证，不要启动开发服务器或浏览器。结束前检查 git diff --stat，确保没有误暂存密钥、node_modules、.env.local 或原始扫描状态。默认不包含“Next Steps - Full Scan”部分，仅在存在未处理候选或用户明确询问更深覆盖时，以“Optional Deeper Follow-Up”标注并说明与已完成运行的差异。