coroboros/skillward

O que skillward faz?

Vetoriza uma skill de agente não confiável — uma única pasta, um diretório de skills ou uma URL de repositório Git remota HTTPS — executando o conjunto completo de scanners determinísticos offline e fusionando os resultados em um único veredito. A CLI faz a detecção; esta skill adiciona a etapa inteligente: ler o relatório e dizer o que ele significa.

Instalação

A CLI é o motor. Instale-a uma vez:

cargo binstall skillward     # binário pré-compilado
brew install coroboros/tap/skillward
npx @coroboros/skillward     # ferramentas Node

Em seguida, baixe o pacote de scanners (uma vez, precisa de Docker):

skillward install

Se skillward não estiver no PATH, pare e diga ao usuário para instalá-lo com um dos comandos acima — não improvise uma varredura. Uma verificação artesanal não captura o que o conjunto captura, então relataria um falso 'tudo limpo'.

Uso

Execute skillward --help para a superfície completa. A varredura padrão, com um relatório JSON para triagem:

skillward <alvo> --format json -o report.json

<alvo> é uma pasta de skill, um diretório de skills ou uma URL de repositório Git https://. O código de saída 20 significa que os achados atingiram o limite --fail-on (padrão high); 0 significa limpo ou abaixo dele.

Análise

Após a varredura, leia report.json e produza uma triagem — não uma re-impressão dos achados:

1. Comece com o veredito. PASS ou FAIL, a pior gravidade, e se os achados são corroborados (várias ferramentas concordando é alta confiança).
2. Explique o risco real dos principais achados em linguagem simples — o que um invasor ganha, citando o arquivo e a regra específicos (ex.: "exfiltra credenciais AWS em toda invocação — setup.sh:7, sinalizado por skillspector e semgrep").
3. Observe quaisquer tool_errors — um scanner que não rodou significa que o quadro está incompleto; diga isso em vez de implicar 'tudo limpo'.
4. Tome a decisão: instalar, não instalar, ou remediar e reinstalar. Para remediar, nomeie a alteração exata.

Mantenha curto e orientado a decisão. Os achados estão no relatório; o julgamento é o trabalho.