BD release-gate-audit
Контроль перед публикацией: определяет, может ли продукт быть опубликован. Отличие от обычных сканеров ключей — объект проверки: он основан на «публичном лице», состоящем из отслеживаемого git контента + всей истории коммитов, а не на рабочем каталоге, видимом через ls. Поэтому он не будет ложно сообщать об утечке локальных файлов и не пропустит учетные данные, которые были удалены, но все еще существуют в старых коммитах. Четыре типа угроз обрабатываются отдельно (ключи требуют отзыва / внутренняя информация работодателя требует обобщения / PII и дефекты переносимости / локальные эксклюзивные продукты требуют прекращения отслеживания), и предоставляется машинная проверка для замкнутого цикла исправления (сравнение отчетов до и после + проверка исторических остатков + принудительный список отзыва), чтобы избежать «я думаю, что это исправлено». Внутренние словари вводятся извне, сам инструмент может быть с открытым исходным кодом. Применимые сценарии: первая публикация репозитория с открытым исходным кодом, обмен skill/статьей/демо/слайдом, передача кода внешним сторонам, проверка соответствия требованиям, выпуск перед релизом, а также проверка «утекла ли внутренняя информация в публичный продукт».
машинный переводПоказать оригиналСкрыть оригинал«发布前放行门禁：判定一个产物能否公开发布。与常规密钥扫描器的根本区别是判定对象——它以 git 已追踪内容 + 全部提交历史构成的「公开面」…»
发布前放行门禁：判定一个产物能否公开发布。与常规密钥扫描器的根本区别是判定对象——它以 git 已追踪内容 + 全部提交历史构成的「公开面」为准，而不是 ls 看到的工作目录，因此既不会把本地文件误报成泄露，也不会漏掉当前已删除但仍存在于旧 commit 中的凭证。四类威胁分离处置（凭证需吊销 / 雇主内部信息需泛化 / PII 兼可移植性缺陷 / 本地专属产物需停止追踪），并提供整改闭环的机器验证（前后报告对比 + 历史残留核查 + 强制吊销清单），避免『我觉得修好了』。内部词表一律外部注入，工具自身可开源。适用场景：开源仓库首次公开、分享 skill/文章/demo/slide、代码外发、合规审查、发版前放行、以及排查『内部信息是否泄露到公开产物』。
Контроль перед публикацией: определяет, может ли продукт быть опубликован.
Как процесс D 45/100 · Процесс не доведён — слабые места: результат и критерий готовности, когда включается, входы и предусловия
Как улучшить
- Скажите в description, КОГДА применять скилл («используй, когда…», примеры запросов): это главный сигнал для агента.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 5
✓ Критических и высоких находок нет
Средние и низкие: 5
-
низкая Секреты в коде
secret-aws-keyassets/self-audit-baseline.json:4AWS access key ID (значение-заглушка)"_review_note": "AKIA…PLE 为 AWS 官方文档固定示例串；变量插值语法非字面密码；apiKey 单测假值为说明用例；MYCO-/INT- 为词表语法示例；RealPass/10.0.3.14 为虚构教学样例；「司内」「公司内部」为设计原则论述用词。",
заглушка -
низкая Секреты в коде
secret-aws-keyreferences/false-positive-playbook.md:29AWS access key ID (значение-заглушка)| 厂商官方文档里的示例串| **误报**。如 AWS 的 `AKIA…PLE`（这串就是 AWS 文档专用示例） |
заглушка -
низкая Секреты в коде
secret-aws-keyreferences/false-positive-playbook.md:71AWS access key ID (значение-заглушка)| `AKIA…PLE` | AWS 官方文档的固定示例 Access Key |
заглушка -
низкая Секреты в коде
secret-aws-keyreferences/false-positive-playbook.md:144AWS access key ID (значение-заглушка)| 1 | `test/reda…:20` | `AKIA…PLE` | 误报 | AWS 官方文档示例串，且位于脱敏功能的单测中 |
заглушка -
низкая Секреты в коде
secret-aws-keyscripts/release_gate.py:463AWS access key ID (значение-заглушка)print(" （如 AKIA…PLE）、localhost 测试凭证、${VAR} 插值都是常见误报。")заглушка
Просканировано файлов: 8. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
description-no-whendescription не говорит, КОГДА применять скилл (нет "use when / используй когда") - заметка
frontmatter-keyнеизвестное поле фронтматтера "description_zh" - заметка
frontmatter-keyнеизвестное поле фронтматтера "description_en"
Процессный рейтинг: все десять параметров 45/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 60Инструменты и файлы. Используются инструменты (python), но во frontmatter они не объявлены
- 100Шаги. Шагов: 30
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 1738 токенов
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- low Разделов верхнего уровня: 10. Похоже на несколько доменов в одном скилле
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Формат ответа не описан: модель каждый раз решает сама
- +2Инструкции на одном языке
- +3Длина description 331 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 24 заголовков
- +3Пошаговые инструкции: 30 пунктов
- +4Есть примеры (9 блоков кода)
- +4Справочные файлы упоминаются в инструкциях (2 из 2)
- +3Все 2 скриптов описаны в инструкциях
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 78.