/audit-outdated
/audit-outdated 技能用于检测集群每一层的版本漂移：控制平面、节点、容器镜像、Helm Chart、CRD、Operator，以及 manifest 所针对的 API 版本。每一层都有各自的”最新版”定义和漂移容忍度。
不带参数运行可进行全面扫描，也可指定工作流名称以限定报告范围。
/audit-outdated # full sweep/audit-outdated images # single workflow/audit-outdated cves in kube-system每个工作流均支持自然语言范围限定（命名空间、标签选择器、严重性阈值），参见概述。
1. Kubernetes 版本偏差
Section titled “1. Kubernetes 版本偏差”数据来源：已发布的 Kubernetes 发布时间表。
2. 已弃用和已移除的 API 版本
Section titled “2. 已弃用和已移除的 API 版本”数据来源：pluto 和 kubent（若可用），以及已发布的 Kubernetes API 弃用时间表作为回退。
3. 容器镜像新鲜度
Section titled “3. 容器镜像新鲜度”数据来源：Docker Hub、GHCR、quay.io 和 gcr.io。目前不支持私有镜像仓库。
4. Helm Chart 和 Release
Section titled “4. Helm Chart 和 Release”数据来源：已配置的 Helm 仓库索引。OCI 托管的 Chart 直接从 OCI 镜像仓库读取。
5. Operator、CRD 及其控制器
Section titled “5. Operator、CRD 及其控制器”数据来源：复用工作流 3 和 4 的镜像仓库和 Helm 仓库数据。
6. 已知漏洞
Section titled “6. 已知漏洞”数据来源：Trivy 和官方 Kubernetes CVE Feed。
7. 节点 OS 和内核
Section titled “7. 节点 OS 和内核”数据来源：发行版 Release Feed（用于最新 OS 和内核版本），以及 CISA KEV 目录（用于标记被积极利用的内核 CVE）。
每份报告都包含”数据时效”页脚，注明各索引（Trivy DB、Helm 仓库、镜像仓库标签列表、Kubernetes 发布时间表）的最后刷新时间。
代理收到的指引
Section titled “代理收到的指引”除工作流外，技能还向代理说明如何报告：
- 始终包含数据时效页脚 — 过时的索引会产生过时的发现，读者需要知道。
- 按镜像摘要去重，确保多个 Pod 共享同一过时镜像时不会在报告中重复出现。
- CVE 条目包含严重性和 CISA KEV 状态（若可用）；在无已知利用的 CVSS 高评级发现之上优先排列 KEV 命中。
- 明确区分”在支持时间窗口内的漂移”和”EOL” — 前者属于常规维护，后者属于紧急情况。
- 对于不在支持列表中的镜像仓库（工作流 3），直接说明而非静默跳过。
- 当单个工作负载的过时镜像成为焦点时，转交给
/investigate。