Que fait skillward ?
Examine une compétence d'agent non fiable — un dossier, un répertoire de compétences, ou une URL de dépôt Git en https — en exécutant l'ensemble complet des scanneurs déterministes hors ligne et en fusionnant les résultats en un seul verdict. Le CLI fait la détection ; cette compétence ajoute l'étape intelligente : lire le rapport et en expliquer la signification.
Installation
Le CLI est le moteur. Installez-le une fois :
cargo binstall skillward # binaire précompilé
brew install coroboros/tap/skillward
npx @coroboros/skillward # chaînes d'outils Node
Ensuite, récupérez le bundle de scanneurs (une seule fois, nécessite Docker) :
skillward install
Si skillward n'est pas dans votre PATH, arrêtez-vous et dites à l'utilisateur de l'installer avec l'une des commandes ci-dessus — n'improvisez pas un scan. Une vérification artisanale manque ce que l'ensemble capture, donc elle signalerait un faux "tout clair".
Utilisation
Exécutez skillward --help pour la surface complète. Le scan par défaut, avec un rapport JSON pour le triage :
skillward <cible> --format json -o report.json
<cible> est un dossier de compétence, un répertoire de compétences, ou une URL de dépôt Git en https://. Le code de sortie 20 signifie que des constats ont atteint le seuil --fail-on (par défaut high) ; 0 signifie propre ou en dessous de ce seuil.
Analyse
Après le scan, lisez report.json et produisez un triage — pas une simple réaffichage des constats :
- Commencez par le verdict. PASS ou FAIL, la sévérité maximale, et si les constats sont corroborés (plusieurs outils s'accordent est une haute confiance).
- Expliquez le vrai risque des principaux constats en langage simple — ce qu'un attaquant gagne, en citant le fichier et la règle spécifiques (ex. "exfiltre les identifiants AWS à chaque invocation —
setup.sh:7, signalé par skillspector et semgrep"). - Notez toute
tool_errors— un scanneur qui n'a pas tourné signifie que le tableau est incomplet ; dites-le plutôt que d'impliquer que tout est clair. - Prenez la décision : installer, ne pas installer, ou corriger puis réinstaller. Pour corriger, nommez la modification exacte.
Gardez-le court et orienté décision. Les constats sont dans le rapport ; le jugement est le travail.