技能介绍

要解决的痛点

在 pull request 合并前做安全审查时，团队通常依赖人工 review：逐行读 diff、凭经验判断是否引入注入或权限绕过等问题。这种方式的问题是审查质量不稳定——diff 很大时容易漏掉关键点，不同 reviewer 给出的结论口径也不一致，安全团队难以把结论沉淀成可追踪的记录。

核心工作方式

该技能采用分阶段威胁建模的思路，而不是一次性全量扫描：

Stage 1：影响面初筛。先对 PR 做一次安全影响分析，判断这次改动是否在攻击面、鉴权逻辑或数据处理链路上引入新的威胁。
按需深入调查。只有当 Stage 1 识别出可信威胁时，才会调用针对性的 vulnerability-investigation 类技能展开专项排查，避免在无害改动上浪费算力。
结构化结论。最终返回的是一个结构化的 verdict，而不是零散的逐行意见，方便直接对接 CI 门禁或 review 流程。

同时支持 CLI 与 Python API，既可以在命令行里对单个 PR 做检查，也可以写进自动化管线中批量执行。

适用边界与注意点

运行前需要准备 GitHub token、Anthropic API key，以及对目标 PR 的访问权限，三者缺一不可。
该技能聚焦于「分类整理」风险并产出结论，不等同于完整的 SAST/SCA 工具链，也不能替代依赖扫描覆盖供应链风险。
调查深度取决于 Stage 1 判断的准确性，误报会触发无谓的深入调查，漏报则直接滑过；建议把它作为人工 review 的前置过滤层，而非唯一防线。
上游实现来自社区项目 vulnvibes，使用前应对其规则和调用链做一次内部审计。