coroboros/skillward

skillward 是做什麼的？

審查一個不受信任的代理技能——一個資料夾、一個技能目錄，或一個遠端 HTTPS Git URL——透過執行完整的確定性掃描器組合並將結果融合為一個離線判決。CLI 負責偵測；此技能增加了一個智慧的步驟：讀取報告並說明其含義。

安裝

CLI 是核心引擎。安裝一次：

cargo binstall skillward     # 預編譯的二進位檔
brew install coroboros/tap/skillward
npx @coroboros/skillward     # Node 工具鏈

然後拉取掃描器套件（一次性，需要 Docker）：

skillward install

如果 skillward 不在 PATH 中，請停止並告訴使用者使用上述其中一個命令進行安裝——請勿自行進行掃描。手工檢查會遺漏組合掃描器能夠捕捉到的內容，因此會報告錯誤的完全安全結果。

使用

執行 skillward --help 以查看完整選項。預設掃描，搭配 JSON 報告以便分類處理：

skillward <target> --format json -o report.json

<target> 是一個技能資料夾、一個技能目錄，或一個 https:// Git 倉庫 URL。退出碼 20 表示發現的結果達到 --fail-on 閾值（預設為 high）；退出碼 0 表示安全或低於該閾值。

分析

掃描後，讀取 report.json 並進行分類處理——而不是重複陳述發現結果：

1. 以判決結果開頭。 PASS 或 FAIL，最嚴重的嚴重等級，以及發現結果是否相互佐證（多個工具一致表示高可信度）。
2. 用平實的語言解釋主要發現結果的真實風險——攻擊者能夠獲得什麼，引用特定檔案和規則（例如「每次執行時洩露 AWS 憑證——setup.sh:7，被 skillspector 和 semgrep 標記」）。
3. 注意任何 tool_errors ——掃描器未執行意味著畫面不完整；請說明這一點，而不是暗示完全安全。
4. 做出決定： 安裝、不安裝，或修復後重新安裝。對於修復，請明確說明具體的更改。

保持簡潔且以決策為導向。發現結果在報告中；判斷是您的工作。