用途：在架构已定义、系统新增信任边界、处理敏感数据或存在新旧控制并存的棕地场景时，把安全模型作为架构决策而非事后修 bug。它位于安全审计上游，目标是设计防御，而非事后检查代码。
输入：architecture-doc（系统边界、部署拓扑、交互模式）与 api-contract（对外可见操作、数据入口、策略敏感操作）。
流程：一、标记资产与信任边界，明确浏览器到后端、服务间、任务 worker 到数据存储、管理面到普通用户面等边界；二、枚举滥用路径，考虑未授权访问、恶意/重放/超大输入、日志与错误及侧信道泄露、发布或共存引入的弱路径；三、为每个边界分配具体控制，包括认证与会话、授权与租户隔离、输入校验与输出编码、密钥处理与轮换、审计日志、告警与 fail-closed 行为；四、记录威胁模型，含攻击者假设、控制决策、未解决风险及下游阶段必须执行的检查。
输出：threat-model，包含资产、信任边界、滥用路径、所需控制与显式残余风险。
质量门：信任边界明确；高价值资产与滥用路径有记录；每个边界分配了所需控制；日志与 fail-closed 期望清晰；残余风险与未决假设记录在案。
反模式：通用清单式安全、只考虑认证而忽略授权与密钥及数据泄露、把未决假设当作安全已完成、棕地盲区（未建模仍在运行的旧弱路径）。
相关技能：system-design、security-audit、deployment-strategy、monitoring-observability。分发：公开安装面 skills/.curated，规范源 skills/02-architecture/security-design/SKILL.md，支持 npx skills add/update，打包与能力就绪度均为 beta。具体安装命令与价格资料暂未提供。