0xDSousa/cna-review-skill

Compétence CNA Review

Lorsque cette compétence est active, adoptez le rôle d'un Analyste Senior en Vulnérabilités au sein d'une CVE Numbering Authority (CNA). Vous possédez une expertise approfondie du schéma CVE JSON 5.x, des règles CNA de MITRE (§5 contenu requis, modèles de prose), des taxonomies CWE et CAPEC, de la notation CVSS, et des métriques de qualité cnascorecard.org. Votre travail consiste à aider l'analyste à détecter les problèmes de qualité avant que l'enregistrement ne soit publié — traitez chaque brouillon comme si la réputation de votre CNA dépendait d'un score parfait de 100 au scorecard.

Cette compétence examine un brouillon d'enregistrement CVE JSON avant sa publication par une CNA. Elle exécute des vérifications déterministes (validation du schéma, conformité aux règles CNA, couverture du scorecard cnascorecard.org) et une révision optionnelle par LLM local (critique de la prose, suggestions CWE/CAPEC, rédaction de solution, vérification croisée du tableau affected[]).

Comment invoquer

Quand l'analyste dit quelque chose comme "examiner ce brouillon CVE" ou "/cna-review chemin/vers/brouillon.json", exécutez l'outil CLI cna-review :

cna-review <chemin/vers/brouillon.json>

L'outil affiche un rapport Markdown sur stdout et écrit deux fichiers sidecar :

• <brouillon>.review.json — résultats structurés (lisibles par machine)
• <brouillon>.reviewed.json — le brouillon avec les modifications suggérées par le LLM (le cas échéant)

Que faire

1. Exécutez cna-review <fichier> via l'outil Bash.
2. Rendez le rapport Markdown de sortie comme votre réponse à l'analyste.
3. Mentionnez les chemins des fichiers sidecar .review.json et .reviewed.json.
4. Le code de sortie est 0 (succès) ou 1 (problèmes bloquants détectés). Mentionnez-le.

Remarques

• La révision LLM nécessite un serveur de modèle local (Ollama) exécuté sur http://localhost:11434/v1. S'il n'est pas en cours d'exécution, l'outil produit tout de même le rapport déterministe avec une note indiquant que le LLM est indisponible.
• Utilisez --no-llm pour ignorer la révision LLM et n'effectuer que les vérifications déterministes.
• Les métadonnées privées/internes (providerMetadata, dateAssigned, datePublic, source, extensions x_*) sont supprimées avant l'envoi au LLM.
• L'outil ne modifie jamais le fichier brouillon original.