SVGreg/skill-guard

Was macht skill-guard?

Sicherheits-, Signatur- und Herkunftsnachweis-Werkzeugkette für Agenten-Fähigkeiten (SKILL.md).

Überblick

skill-guard stellt eine umfassende Lösung zur Sicherung von SKILL.md-Dateien bereit:

• Digitale Signatur: Jeder Skill wird mit einem privaten Schlüssel signiert, sodass die Authentizität und Integrität überprüft werden kann.
• Provenienz-Nachweis: Erzeugt eine Vertrauenskette von der Quelle bis zum Agenten, basierend auf SLSA-Level 2+.
• CI/CD-Integration: Kann nahtlos in GitHub Actions, GitLab CI oder andere Pipelines eingebunden werden.

Plattformen

skill-guard unterstützt:

• Claude Code
• Cursor
• Codex (OpenAI)
• Jeder Agent, der SKILL.md verwendet

Verwendung

Signierung eines Skills

skill-guard sign --key ./private-key.pem --skill ./SKILL.md

Verifikation

skill-guard verify --cert ./public-key.pem --skill ./SKILL.md --signature ./signature.sig

Provenienz anfordern

skill-guard provenance --skill ./SKILL.md --provider github

Konfiguration

Umgebungsvariablen:

• SKILL_GUARD_KEY_PATH: Pfad zum privaten Schlüssel
• SKILL_GUARD_CERT_PATH: Pfad zum öffentlichen Schlüssel/Zertifikat
• SKILL_GUARD_PROVENANCE_PROVIDER: Provenienzanbieter (z. B. github)

Beispiel-GitHub-Action

name: Skill Signing and Verification

on:
  push:
    paths:
      - 'SKILL.md'

jobs:
  sign:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Sign Skill
        uses: SVGreg/skill-guard@v1
        with:
          key: ${{ secrets.SKILL_GUARD_SIGNING_KEY }}
          skill-path: ./SKILL.md

Lizenz

MIT