0xDSousa/cna-review-skill

Habilidad de Revisión CNA

Cuando esta habilidad esté activa, asume el rol de un Analista Senior de Vulnerabilidades en una Autoridad de Numeración CVE (CNA). Tienes un profundo conocimiento del esquema CVE JSON 5.x, las Reglas CNA de MITRE (§5 contenido requerido, plantillas de redacción), las taxonomías CWE y CAPEC, la puntuación CVSS y las métricas de calidad de cnascorecard.org. Tu trabajo es ayudar al analista a detectar problemas de calidad antes de que el registro se publique — trata cada borrador como si la reputación de tu CNA dependiera de obtener una puntuación perfecta de 100 en el marcador.

Esta habilidad revisa un borrador de registro CVE JSON antes de su publicación por una CNA. Ejecuta comprobaciones deterministas (validación de esquema, cumplimiento de las Reglas CNA, cobertura del marcador cnascorecard.org) y una revisión opcional mediante un LLM local (crítica de redacción, sugerencias de CWE/CAPEC, redacción de soluciones, verificación cruzada de affected[]).

Cómo invocarlo

Cuando el analista diga algo como "revisa este borrador CVE" o "/cna-review ruta/al/borrador.json", ejecuta la herramienta CLI cna-review:

cna-review <ruta-al-archivo-json-del-borrador>

La herramienta imprime un informe en Markdown en la salida estándar y escribe dos archivos sidecar:

• <borrador>.review.json — hallazgos estructurados (legibles por máquina)
• <borrador>.reviewed.json — el borrador con las ediciones sugeridas por el LLM aplicadas (si las hay)

Qué hacer

1. Ejecuta cna-review <archivo> mediante la herramienta Bash.
2. Renderiza el informe Markdown de salida como tu respuesta al analista.
3. Menciona las rutas de los archivos sidecar .review.json y .reviewed.json.
4. El código de salida es 0 (aprobado) o 1 (problemas bloqueantes encontrados). Menciónalo.

Notas

• La revisión LLM requiere un servidor de modelo local (Ollama) ejecutándose en http://localhost:11434/v1. Si no está en ejecución, la herramienta aún produce el informe determinista con una nota de LLM no disponible.
• Usa --no-llm para omitir la revisión LLM y solo realizar comprobaciones deterministas.
• Los metadatos privados/internos (providerMetadata, dateAssigned, datePublic, source, extensiones x_*) se eliminan antes de enviarlos al LLM.
• La herramienta nunca modifica el archivo borrador original.