用途：Security Audit 是面向滥用抵抗的专项质量检查，比普通代码审查更深，但比完整安全架构工作更聚焦。适用于变更跨越信任边界、处理敏感数据、涉及认证授权、引入新依赖或显著改变部署暴露面的场景。其目标是针对当前切片给出具体发现，而非泛泛的最佳实践清单。
主要能力：先校准安全目标，确认被审对象是智能体内部技能、宿主运行时工具、本地测试框架、内部服务还是公开 HTTP 服务；即使目标是内部的，也不降低基线安全要求，仍需检查提示注入、命令安全、远程指令信任、工具/文件/网络副作用、提示与日志中的密钥和 PII、依赖执行风险以及公开导出的供应链安全。当运行时上下文为公开服务、暴露面为公网，或证据显示存在外部可达行为、多用户访问、敏感数据处理、认证授权、特权操作、新部署暴露或服务间信任边界时，升级为完整服务式审计。
使用方式：输入包括源代码、架构文档、威胁模型和 intake brief（须含 quality_target_context，包含 runtime_context、exposure_profile、production_target、non_targets 和 evidence_refs）。流程为：校准安全目标、映射攻击面、检查信任边界、检查供应链与配置风险、编写可用于发布的报告。发现按严重性和可利用性分类，区分必须立即修复的发布阻断项、需指定负责人和跟进日期的中风险问题、以及有明确理由的已接受风险。输出 security-report，包含发现、风险分类、证据、修复指引和明确的发布建议。
限制：若目标上下文缺失或矛盾，应停止并请求边界或转交 course-correction-note，不得仅凭 HTTP 形态的实现细节臆造公开服务阻断项。质量门要求显式审查信任边界、解决或正式接受高危与严重发现、检查敏感数据处理与密钥暴露、审查依赖与配置变更的安全影响，并给出通过、有条件通过或阻断的明确建议。反模式包括仅依赖扫描器、脱离上下文的清单式审计、发布后再补安全文档、以及只标严重性而不说明利用路径。相关技能有 code-review、testing-strategy、deployment-strategy 和 security-design。分发安装面为 skills/.curated，规范源为 skills/05-quality/security-audit/SKILL.md，支持 npx skills add/update，打包稳定性与能力就绪度均为 beta。