CC implementing-kubernetes-pod-security-standards
Выбирает и применяет правильный стандарт безопасности Pod Kubernetes (Privileged, Baseline, Restricted) для рабочей нагрузки: что запрещает каждый профиль, как сопоставить существующие рабочие нагрузки с профилем, какие поля securityContext должны быть изменены и как спланировать миграцию с PodSecurityPolicy на PSS без нарушения работы запущенных подов. Используйте при принятии решения о том, какой профиль безопасности подов должен использоваться для пространства имен или рабочей нагрузки, при аудите того, какие рабочие нагрузки не пройдут проверку Restricted, при планировании миграции PSP или при сопоставлении состояния безопасности подов с контролем соответствия. Ключевые слова: Стандарты безопасности подов, PSS, Privileged, Baseline, Restricted, securityContext, runAsNonRoot, drop ALL capabilities, seccomp RuntimeDefault, миграция PSP. Не используйте для настройки контроллера допуска, который обеспечивает соблюдение этих профилей — используйте implementing-pod-security-admission-controller.
машинный переводПоказать оригиналСкрыть оригинал«Chooses and applies the correct Kubernetes Pod Security Standard (Priv…»
Chooses and applies the correct Kubernetes Pod Security Standard (Privileged, Baseline, Restricted) for a workload: what each profile forbids, how to map existing workloads to a profile, which securityContext fields must change, and how to plan a PodSecurityPolicy-to-PSS migration without breaking running pods. Use when deciding which pod security profile a namespace or workload should run under, auditing which workloads would fail Restricted, planning a PSP migration, or mapping pod security posture to a compliance control. Keywords: Pod Security Standards, PSS, Privileged, Baseline, Restricted, securityContext, runAsNonRoot, drop ALL capabilities, seccomp RuntimeDefault, PSP migration. Do not use for configuring the admission controller that enforces these profiles - use implementing-pod-security-admission-controller.
Выбирает и применяет правильный стандарт безопасности Pod Kubernetes (Privileged, Baseline, Restricted) для рабочей нагрузки: что запрещает каждый профиль…
Как процесс C 64/100 · Есть пробелы — слабые места: результат и критерий готовности, ошибки и развилки, повторный запуск
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 2
✓ Критических и высоких находок нет
Средние и низкие: 2
-
низкая Опасные команды
cmd-privilegereferences/standards.md:15Повышение привилегий / права на запись для всех (документация security-скилла)| Capabilities | Cannot add beyond: AUDIT_WRITE, CHOWN, DAC_OVERRIDE, FOWNER, FSETID, KILL, MKNOD, NET_BIND_SERVICE, SETFCAP, SETGID, SETPCAP, SETUID, SYS_CHROOT |
security-скилл -
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:28Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| Privilege Escalation | allowPrivilegeEscalation must be false |
Просканировано файлов: 8. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- заметка
frontmatter-keyнеизвестное поле фронтматтера "domain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "subdomain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "nist_csf" - заметка
frontmatter-keyнеизвестное поле фронтматтера "mitre_attack" - заметка
edit-residueв тексте есть пометки об устаревшем (строки 5): проверьте, не остались ли старые правила рядом с новыми — полная проверка читает текст на противоречия
Процессный рейтинг: все десять параметров 64/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 30Повторный запуск. Изменяющих операций: 3, без проверки текущего состояния
- 50Когда включается. Не сказано, при каком запросе скилл включается
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 12
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 2000 токенов
- 100Отчётность по ходу. Скилл сообщает о ходе работы
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +3Длина description 831: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- -43 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
- -32 из 2 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +4Структура: 16 заголовков
- +3Пошаговые инструкции: 12 пунктов
- +4Есть примеры (8 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 76.