¿Qué hace skillward?
Evalúa una habilidad de agente no confiable — una carpeta, un directorio de habilidades o una URL remota de Git HTTPS — ejecutando el conjunto completo de escáneres deterministas fuera de línea y fusionando los resultados en un único veredicto. El CLI hace la detección; esta habilidad añade el paso inteligente: leer el informe y decir qué significa.
Instalación
El CLI es el motor. Instálalo una vez:
cargo binstall skillward # binario precompilado
brew install coroboros/tap/skillward
npx @coroboros/skillward # cadenas de herramientas Node
Luego descarga el paquete de escáneres (una sola vez, necesita Docker):
skillward install
Si skillward no está en PATH, detente e indica al usuario que lo instale con uno de los comandos anteriores — no improvises un escaneo. Una revisión hecha a mano pasa por alto lo que captura el conjunto, por lo que reportaría un falso todo-claro.
Uso
Ejecuta skillward --help para ver la superficie completa. El escaneo por defecto, con un informe JSON para triaje:
skillward <objetivo> --format json -o report.json
<objetivo> es una carpeta de habilidad, un directorio de habilidades o una URL de repositorio Git https://. El código de salida 20 significa que los hallazgos alcanzaron el umbral --fail-on (por defecto high); 0 significa limpio o por debajo de ese umbral.
Analizar
Después del escaneo, lee report.json y produce un triaje — no una reimpresión de los hallazgos:
- Empieza con el veredicto. PASS o FAIL, la severidad máxima, y si los hallazgos están corroborados (múltiples herramientas coincidiendo es de alta confianza).
- Explica el riesgo real de los hallazgos principales en lenguaje llano — qué gana un atacante, citando el archivo y la regla específicos (ej. "exfiltra credenciales de AWS en cada invocación —
setup.sh:7, señalado por skillspector y semgrep"). - Nota cualquier
tool_errors— un escáner que no se ejecutó significa que la imagen está incompleta; dilo en lugar de implicar que todo está claro. - Toma la decisión: instalar, no instalar, o remediar y luego reinstalar. Para remediar, nombra el cambio exacto.
Mantenlo breve y orientado a la decisión. Los hallazgos están en el informe; el juicio es el trabajo.