security-audit 是 vladm3105/aidoc-flow-framework 下的安全审计技能，用于确认安全需求已被正确定义、实现和测试，并识别代码、依赖、基础设施与配置中的漏洞。
用途：审查 SDD 项目或其实现的安全态势；验证 SPEC（及上游 EARS/ADR）中的安全需求是否完整、可测试；扫描漏洞、密钥与合规缺口；对组件或系统做威胁建模。非安全类的产物质量检查应使用 ../quality-advisor/SKILL.md，可追溯性校验应使用 ../doc-validator/SKILL.md。
主要能力：以流水线方式执行并产出单一报告，包括需求验证（认证/授权、数据保护、加密、密钥管理，标记缺失或含糊需求）、代码扫描（SAST 如 bandit、semgrep，依赖 CVE 如 safety、pip-audit，密钥检测如 detect-secrets、gitleaks，以及注入、XSS、CSRF 模式检查）、基础设施扫描（IaC 如 checkov、tfsec，容器如 trivy、grype，Kubernetes 与云/网络配置）、依赖评估（已知 CVE、CVSS 评分、过期与传递依赖、许可证合规）、合规检查（OWASP Top 10 2021 覆盖与 CWE 映射及适用监管框架）、STRIDE 威胁建模（攻击面与信任边界映射、每项威胁的缓解状态）以及报告（总体安全评分，按 critical/high/medium/low 分组并给出 file:line、CWE/CVE、CVSS 与修复建议，含合规状态与优先修复顺序）。目标为零严重漏洞、仓库无密钥、MUST 安全需求 100% 覆盖、OWASP Top 10 全覆盖。
限制：无法发现全部业务逻辑缺陷；可能产生需人工复核的误报；依赖工具当前的漏洞数据库。资料未提供安装命令、定价或平台信息。