BF agents-harden
Используйте при подготовке вашего агента к производству — настройка IAM, входящая аутентификация (JWT, SigV4), управление секретами, оптимизация холодного старта, жизненный цикл сеанса, ограничение скорости, проверка входных данных и рекомендации по квотам. Триггеры: "чек-лист для продакшена", "укрепить агента", "готов к продакшену", "обезопасить агента", "входящая аутентификация", "запуск в продакшен", "оптимизация холодного старта", "жизненный цикл сеанса", "StopRuntimeSession", "квота", "ограничение скорости", "maxVms", "лимит скорости", "аудит безопасности исходящих вызовов API", "аудит цели шлюза для продакшена", "ограничить, кто может вызывать", "заблокировать конечную точку", "только наше приложение может вызывать". Не для политик ограничения инструментов Cedar — используйте agents-connect. Не для измерения качества — используйте agents-optimize. Не для хранения исходящих учетных данных или подключения API-ключей — используйте agents-connect. Не для аутентификации от агента к агенту (A2A) — используйте agents-build. Наблюдение и диагностика холодного старта (не оптимизация) направляются в agents-debug.
машинный переводПоказать оригиналСкрыть оригинал«Use when preparing your agent for production — IAM scoping, inbound au…»
Use when preparing your agent for production — IAM scoping, inbound auth (JWT, SigV4), secrets management, cold start optimization, session lifecycle, rate limiting, input validation, and quota guidance. Triggers on: "production checklist", "harden agent", "production ready", "secure agent", "inbound auth", "going live", "cold start optimization", "session lifecycle", "StopRuntimeSession", "quota", "throttling", "maxVms", "rate limit", "security audit of outbound API calls", "gateway target audit for production", "restrict who can call", "lock down endpoint", "only our app can call". Not for Cedar tool-restriction policies — use agents-connect. Not for quality measurement — use agents-optimize. Not for outbound credential storage or API key wiring — use agents-connect. Not for A2A agent-to-agent auth — use agents-build. Cold start observation and diagnosis (not optimization) routes to agents-debug.
Используйте при подготовке вашего агента к производству — настройка IAM, входящая аутентификация (JWT, SigV4), управление секретами, оптимизация холодного…
Как процесс F 66/100 · Не запустится — Скилл ссылается на файлы, которых нет в архиве: references/limits.md, ../agents-build/references/integrate.md, ../agents-connect/SKILL.md
Чем это грозит
Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл просит больше прав, чем нужно для задачи: широкий доступ к инструментам, секретные переменные окружения, бинарные файлы. Каждое лишнее право расширяет ущерб при ошибке или взломе.
Сузьте allowed-tools и список переменных до минимума, замените бинарники на исходники или скрипты, которые можно прочитать.
Как улучшить
- Тело SKILL.md длиннее 5 000 токенов: вынесите справочные детали в references/ и подключайте по необходимости.
- В тексте есть ссылки на отсутствующие файлы: добавьте файлы или уберите ссылки.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 1
✓ Критических и высоких находок нет
Средние и низкие: 1
-
средняя Широкие права
meta-broad-allowed-toolsSKILL.md:1Заранее разрешены широкие инструменты: Bashallowed-tools: Read Grep Glob Bash
Просканировано файлов: 1. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
body-longтело SKILL.md ≈ 7748 токенов (рекомендуется < 5000); вынесите детали в references/ - предупреждение
missing-refссылка на отсутствующий файл: references/limits.md - предупреждение
missing-refссылка на отсутствующий файл: ../agents-build/references/integrate.md - предупреждение
missing-refссылка на отсутствующий файл: ../agents-connect/SKILL.md - предупреждение
missing-refссылка на отсутствующий файл: ../agents-build/references/vpc.md - предупреждение
missing-refссылка на отсутствующий файл: ../agents-debug/SKILL.md - предупреждение
missing-refссылка на отсутствующий файл: references/vpc.md
Процессный рейтинг: все десять параметров 66/100
- 0Инструменты и файлы. Не хватает 6 файла(ов): references/limits.md, ../agents-build/references/integrate.md, ../agents-connect/SKILL.md
- 30Повторный запуск. Изменяющих операций: 16, без проверки текущего состояния
- 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 70Стоимость исполнения. Тело инструкции 7748 токенов
- 85Шаги. Шагов: 59, расплывчатых формулировок: 2
- 100Когда включается. Сказано, когда применять и когда не применять
- 100Ошибки и развилки. Развилок: 1, есть раздел про ошибки
- 100Согласованность. Имя и обязательные поля на месте
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- low Разделов верхнего уровня: 19. Похоже на несколько доменов в одном скилле
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +3Длина description 911: рекомендуется 120–800 символов
- +1Лицензия не указана
- +2Инструкции на одном языке
- +5В description 17 примера фраз-триггеров в кавычках
- +4Описание говорит, когда скилл НЕ применять
- +4Структура: 40 заголовков
- +3Пошаговые инструкции: 59 пунктов
- +3Формат ответа описан явно
- +4Есть примеры (24 блоков кода)
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 71.