jovd83/skill-vetting-reporter

skill-vetting-reporter 是做什么的？

AgentSkills 的安全与信任审查工具：强制开源扫描仪关卡（Cisco、NVIDIA SkillSpector、Snyk、sentry）、OWASP Agentic 应用十大风险映射以及分层审查报告。

概述

此技能为任何引入的 AgentSkill 提供强制性的安全与信任审查流程。它确保在将技能集成到您的代码库之前，已通过行业标准扫描仪和 OWASP 框架对其进行评估。

功能

1. 强制开源扫描仪关卡

   • Cisco – 网络与端点安全分析
   • NVIDIA SkillSpector – AI 驱动的代码审查
   • Snyk – 依赖项漏洞扫描
   • sentry – 错误监控与性能分析

2. OWASP Top 10 for Agentic Applications 映射

   • 针对自主代理应用的风险进行映射
   • 识别注入、权限提升、数据泄露等威胁

3. 分层审查报告

   • 安全 – 无已知漏洞
   • 中等 – 存在低风险问题，需关注
   • 高风险 – 立即处理

工作原理

1. 依赖扫描 – 自动检查 requirements.txt、package.json 或类似文件中的已知漏洞
2. 代码审查 – 使用 AI 和静态分析工具审查可疑模式
3. OWASP 映射 – 将发现结果与 OWASP Top 10 for Agentic Applications 进行关联
4. 报告生成 – 生成 markdown 格式的分层报告

使用方式

在您的 AgentSkill 工作流中包含此技能。示例：

# 示例：触发审查
skill-vetting-reporter review --target ./path/to/skill

输出示例

# 审查报告：example-skill

## 总体评分：中等

### 扫描结果
- Cisco: 通过
- NVIDIA SkillSpector: 2 个警告
- Snyk: 1 个低风险依赖项
- sentry: 通过

### OWASP 映射
- A01: 输入验证 – 通过
- A02: 权限 – 需审查
- ...

环境变量

• CISCO_API_KEY – Cisco 扫描 API 密钥
• SNYK_TOKEN – Snyk 访问令牌
• SENTRY_DSN – Sentry 项目 DSN

许可

此技能采用 MIT 许可。