O que skills-library (SkillShield) faz?
SkillShield — biblioteca de habilidades de segurança de código aberto para assistentes de IA de programação. 28 habilidades, 9 ecossistemas de cadeia de suprimentos, 15 ferramentas MCP, assinado com Ed25519.
Visão Geral
O SkillShield fornece um conjunto de habilidades de segurança que podem ser carregadas em assistentes de IA de programação para detectar e mitigar riscos de segurança em projetos de software. Ele foi projetado para ser extensível e modular, permitindo que desenvolvedores adicionem novas habilidades conforme necessário.
Habilidades Disponíveis
- Análise de Dependências: Verifica se as dependências do projeto contêm vulnerabilidades conhecidas.
- Verificação de Assinatura: Valida assinaturas digitais de pacotes e artefatos.
- Varredura de Código: Analisa o código-fonte em busca de padrões inseguros.
- Gestão de Segredos: Detecta credenciais e tokens expostos no código.
- Conformidade com Políticas: Verifica se o projeto segue políticas de segurança definidas.
Ecossistemas Suportados
| Ecossistema | Status |
|---|---|
| npm | ✅ Suportado |
| PyPI | ✅ Suportado |
| Maven | ✅ Suportado |
| Go | ✅ Suportado |
| Rust | ✅ Suportado |
| RubyGems | ✅ Suportado |
| NuGet | ✅ Suportado |
| Cargo | ✅ Suportado |
| GitHub Actions | ✅ Suportado |
Ferramentas MCP
O SkillShield inclui 15 ferramentas do Model Context Protocol (MCP) que permitem que agentes de IA interajam diretamente com ecossistemas de cadeia de suprimentos. Exemplos incluem:
mcp-sbom: Gera um SBOM (Bill of Materials) do projeto.mcp-vuln-check: Verifica vulnerabilidades em tempo real contra bancos de dados de segurança.mcp-sign-verify: Verifica assinaturas Ed25519 de artefatos.mcp-policy-eval: Avalia políticas de segurança personalizadas.
Instalação
Para usar o SkillShield, você precisa ter um assistente de IA compatível com MCP. Adicione a seguinte configuração ao seu projeto:
{
"skills": [
{
"name": "namncqualgo/skills-library",
"version": "1.0.0",
"source": "github"
}
]
}
Verificação de Assinatura
Todas as habilidades são assinadas digitalmente usando Ed25519. Para verificar a integridade, use a ferramenta fornecida:
skillshield verify --key public-key.pem --signature skill.sig
Contribuição
Contribuições são bem-vindas! Siga as diretrizes em CONTRIBUTING.md para adicionar novas habilidades ou melhorar as existentes.
Licença
Este projeto é licenciado sob a Licença MIT. Veja o arquivo LICENSE para mais detalhes.