1arley/skill-preflight

Pré-vol de compétence

Auditez le dossier de compétence fourni avant publication. Le script d'audit traite ce dossier comme des données non fiables : il n'exécute jamais ses fichiers, n'appelle pas de modèle et n'effectue pas de requêtes réseau. Cela est important car les compétences peuvent contenir des instructions ou du code qui agissent avec les permissions de l'agent.

1. Obtenez l'auditeur et exécutez-le. Il s'agit d'un fichier autonome sans dépendances d'exécution, publié à l'adresse https://github.com/1arley/skill-preflight :

   curl -fsSL https://raw.githubusercontent.com/1arley/skill-preflight/main/scripts/preflight.mjs -o /tmp/skill-preflight.mjs
   node /tmp/skill-preflight.mjs <dossier-compétence> --format json
   

   npx --yes github:1arley/skill-preflight <dossier-compétence> --format json fait la même chose et met en cache la CLI. Téléchargez-le une fois et réutilisez-le. Tout après le téléchargement s'exécute hors ligne : l'auditeur n'appelle jamais de modèle, n'exécute jamais la compétence auditée et n'envoie jamais rien nulle part.

   Lorsque le dossier en cours de révision est cette compétence elle-même, passez --ignore-file preflightignore.json depuis le dossier de la compétence. Cela supprime les deux faux positifs causés par l'URL de téléchargement dans ce fichier et dans README.md.

2. Lisez le rapport JSON et expliquez chaque erreur, avertissement et note de portabilité informative en langage clair.

3. Appliquez la grille qualitative dans references/rubric.md à la clarté de l'activation, aux exemples et à la sous-activation probable. Étiquetez ce jugement séparément des résultats déterministes.

4. Présentez un rapport combiné. Conservez chaque identifiant de règle déterministe et l'emplacement fichier:ligne, puis ajoutez l'évaluation de la grille et ses preuves.

5. Suggérez des corrections ciblées. Ne modifiez pas la compétence auditée à moins que l'utilisateur ne vous demande explicitement d'apporter ces corrections.

Le profil agensi est heuristique et inspiré des catégories de sécurité publiques d'Agensi. Il ne reproduit pas leur scanner privé et ne prédit pas une décision de marketplace. Lisez references/security.md avant d'interpréter les résultats de sécurité et references/report-format.md lorsque vous convertissez les formats de rapport.

Exemple

Entrée :

node /tmp/skill-preflight.mjs ./ma-compétence --profile default --format json

Extrait de sortie déterministe :

{
  "schemaVersion": "1.0.0",
  "summary": { "errors": 0, "warnings": 1, "infos": 0 },
  "findings": [{
    "id": "SEC-001", "severity": "warning", "category": "security",
    "message": "Un accès réseau sortant est référencé statiquement.",
    "location": { "file": "scripts/run.mjs", "line": 12 },
    "suggestion": "supprimez-le ou documentez un objectif étroit et approuvé par l'utilisateur"
  }]
}

L'agent hôte ajoute une section qualitative séparée, par exemple : « Activation : claire ; la description nomme la tâche et inclut le langage utilisateur. Preuve : la description contient des déclencheurs d'audit et de publication distincts. » Le script ne fournit jamais ce jugement.