CF enterprise-skills-studio
Инженерная платформа корпоративных навыков (универсальная, кроссплатформенная). Для корпоративных менеджеров, бизнес- и технических специалистов, охватывает корпоративные навыки: "обучение и понимание / создание и проектирование / переход от личного к корпоративному / управление и администрирование / проверка безопасности / постоянное развитие / кроссплатформенная адаптация / планирование системы / генерация процессов навыков / Ops жизненного цикла / фильтрация ROI / эволюционное обслуживание / обнаружение и повторное использование навыков / обучение и продвижение / управление Agentic / линза выбора тем / оркестровка навыков / тестовые наборы / унифицированный CLI / расчет затрат / генерация портала". Основано на открытом стандарте Agent Skills (agentskills.io), навыки могут быть перенесены между настольными агентами, поддерживающими этот стандарт, такими как WorkBuddy, Codex, Claude Code, Cursor, 龙虾, Hermes. Придерживается принципа "толстые навыки + тонкая обвязка". Используется, когда пользователь хочет "понять корпоративные навыки / создать корпоративный навык / преобразовать личный навык в корпоративный / управлять и проверять навыки / адаптировать навыки для кроссплатформенности / спланировать систему корпоративных навыков / создать навык из системных бизнес-потоков, таких как ERP, CRM, HRM, OA, или Agentic Workflow / оценить ценность навыка (ROI) / управлять жизненным циклом навыка и его устареванием / обслуживать журнал эволюции навыка / проверять на дублирование перед созданием нового навыка / генерировать пакеты для обучения и продвижения бизнеса / выполнять проверки соответствия для кроссплатформенной адаптации навыков / управлять командой агентов (оценка, контроль, наблюдаемость, ответственность) / использовать PEST, пять сил Портера, цепочку создания ценности для поиска высокоэффективных процессов для выбора тем навыков / оркестровать несколько навыков в рабочий процесс / генерировать тестовые примеры для оценки навыков / усилить защиту навыков от утечки PII и внедрения промптов / использовать единую команду (studio) для управления всеми скриптами инженерной разработки навыков / отслеживать затраты на выполнение навыков и счетчики вызовов для подтверждения ROI / генерировать каталог или веб-страницу для обнаружения библиотеки навыков / запускать проверку безопасности и проверку переноса навыка перед публикацией или переносом (gate) / позволить навыку самообновляться (сказать "проверить/обновить этот навык", по умолчанию только проверка, применение только после подтверждения) / аудировать и сканировать безопасность навыка (SkillSec 16 категорий, по методологии NVIDIA SkillSpector)".
машинный переводПоказать оригиналСкрыть оригинал«企业技能工程台（通用、跨平台）。面向企业管理者、业务与技术人员，覆盖企业级技能的"学习理解 / 构建设计 / 个人→企业升级 / 治理管理…»
企业技能工程台（通用、跨平台）。面向企业管理者、业务与技术人员，覆盖企业级技能的"学习理解 / 构建设计 / 个人→企业升级 / 治理管理 / 安全审查 / 持续进化 / 跨平台适配 / 体系规划 / 流程技能生成 / 生命周期 Ops / ROI 筛选 / 进化维护 / 技能发现复用 / 培训推广 / Agentic 治理 / 选题透镜 / 技能编排 / 评测套件 / 统一 CLI / 成本计量 / 门户生成"。基于 Agent Skills 开放标准（agentskills.io），产出的技能可在 WorkBuddy、Codex、Claude Code、Cursor、龙虾、Hermes 等支持该标准的桌面 Agent 间移植。遵循"厚技能+薄 harness"原则。当用户要"懂企业技能 / 做一个企业技能 / 把个人技能转企业级 / 治理审查技能 / 跨平台适配技能 / 规划企业技能体系 / 把 ERP·CRM·HRM·OA 等系统型业务流或 Agentic Workflow 做成技能 / 评估技能值不值得做(ROI) / 治理技能生命周期与弃用 / 维护技能 Evolution Log / 新造技能前查重避免重复 / 生成业务培训推广包 / 做跨平台适配合规检查 / 治理一支 Agent 队伍(评估护栏可观测责任归属) / 用 PEST·波特五力·价值链找高杠杆流程做技能选题 / 把多个技能编排成工作流 / 生成技能的评测测试用例 / 加固技能防 PII 泄露与 prompt 注入 / 用一个统一命令(studio)调度所有技能工程脚本 / 追踪技能运行成本与调用计量来佐证 ROI / 把技能库生成可发现的门户目录或网页 / 在发布或移植某技能前同时跑安全体检与移植体检做卡点(gate) / 让本技能自我更新(说"检查/更新本技能"，默认仅检查、需确认才应用) / 审计扫描某技能的安全性(SkillSec 16 类，借鉴 NVIDIA SkillSpector 方法论)"时使用。
Инженерная платформа корпоративных навыков (универсальная, кроссплатформенная).
Как процесс F 37/100 · Не запустится — Скилл ссылается на файлы, которых нет в архиве: assets/SKILL.md.template
Чем это грозит
Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Как улучшить
- Скажите в description, КОГДА применять скилл («используй, когда…», примеры запросов): это главный сигнал для агента.
- В тексте есть ссылки на отсутствующие файлы: добавьте файлы или уберите ссылки.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 11
✓ Критических и высоких находок нет
Средние и низкие: 11
-
средняя Опасные команды
cmd-pipe-to-shellREADME.md:75Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (в кавычках — упоминание, а не команда)7. 安全语义层（编码绕过 base64·ROT13·零宽字符 / 敏感路径 ssh·aws·.env·记忆文件 / 裸 IP 外联 / 提权 / 未声明装包 / 声明-能力一致性 / 供应链投毒 `curl|sh`）
в кавычках -
средняя Опасные команды
cmd-pipe-to-shellscripts/review_checklist.py:432Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (комментарий в коде)# 供应链投毒：下载即执行（curl|sh / wget|sh 等管道给 shell）
комментарий -
средняя Опасные команды
cmd-pipe-to-shellscripts/review_checklist.py:434Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется)add("语义层", "SUPPLY1", "供应链投毒（下载即执行 curl|sh 等）",строка в коде -
средняя Опасные команды
cmd-pipe-to-shellscripts/review_checklist.py:436Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется)f"疑似下载即执行: {m.group(0)!r}" if m else "未检出 curl|sh / wget|sh 等管道执行远程脚本")строка в коде -
низкая Опасные команды
cmd-pipe-to-shellREADME.md:30Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (демонстрация атаки / пример; в кавычках — упоминание, а не команда)- 安全风险（密钥外泄、提权、`curl|sh` 投毒、prompt 注入）
демонстрацияв кавычках -
низкая Подмена инструкций
en-ignore-previousreferences/skill-spector-method.md:23Фраза-перехват ("ignore previous instructions") (определение детектора / чёрного списка; строка таблицы в документации; демонстрация атаки / пример; тестовый файл / пример)| C07 | 提示注入 Prompt injection | 指令覆盖/隐藏指令类表述 | "ignore previous instructions" |
детектортаблицадемонстрациятестовый файл -
низкая Рискованное назначение
intent-offensive-securityreferences/skill-spector-method.md:25Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (тестовый файл / пример)| C09 | 特权升级 Privilege escalation | 提权执行；硬编码凭据 | `sudo`；`ghp_...` |
тестовый файл -
низкая Опасные команды
cmd-pipe-to-shellreferences/skill-spector-method.md:26Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строка таблицы в документации; тестовый файл / пример)| C10 | 供应链 Supply chain | 下载即执行；远端获取后执行；编码绕过；未钉置依赖 | `curl|sh`；`b64decode` |
таблицатестовый файл -
низкая Опасные команды
cmd-pipe-to-shellreferences/skill-spector-method.md:51Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (определение детектора / чёрного списка; тестовый файл / пример)- **高（HIGH）**：明确危险信号（如 `curl|sh`、硬编码凭据、零宽字符、exec/eval 流入外部输入）。CI 应阻断。
детектортестовый файл -
низкая Опасные команды
cmd-pipe-to-shellscripts/review_checklist.py:156Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется; комментарий в коде)# 供应链投毒：下载即执行（curl|sh / wget|sh / 管道给 shell）
строка в кодекомментарий -
низкая Опасные команды
cmd-pipe-to-shellscripts/skillsec_audit.py:399Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется; документация security-скилла)"存在下载即执行（curl|sh / wget|sh 管道给 shell），典型供应链投毒向量。"))
строка в кодеsecurity-скилл
Просканировано файлов: 42. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
description-no-whendescription не говорит, КОГДА применять скилл (нет "use when / используй когда") - предупреждение
missing-refссылка на отсутствующий файл: assets/SKILL.md.template - заметка
frontmatter-keyнеизвестное поле фронтматтера "agent_created" - заметка
frontmatter-keyнеизвестное поле фронтматтера "capabilities"
Процессный рейтинг: все десять параметров 37/100
- 0Инструменты и файлы. Не хватает 1 файла(ов): assets/SKILL.md.template
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 100Шаги. Шагов: 102
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 3130 токенов
- 100Повторный запуск. Изменяющих операций нет
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- low Ответ описан самодельной разметкой (3 тегов): типизированный вызов надёжнее
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Длина description 857: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- +4Нет примеров входа/выхода
- -233 эмодзи в инструкциях: шум для модели
- +2Инструкции на одном языке
- +5В description 2 примера фраз-триггеров в кавычках
- +4Структура: 10 заголовков
- +3Пошаговые инструкции: 102 пунктов
- +4Справочные файлы упоминаются в инструкциях (20 из 20)
- +3Все 16 скриптов описаны в инструкциях
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 68.