Tests, qualité et sécurité Vérifié sur documentation Avancé
supply-chain-risk-auditor
trailofbits/skills
Évaluer le risque des dépendances
Texte de fiche en cours de relecture : les informations techniques sont vérifiées, la rédaction n'est pas encore validée par un humain.
À quoi ça sert
Évalue les risques des bibliothèques utilisées par un projet : failles connues, projets abandonnés, trop peu de mainteneurs, scripts lancés à l'installation. Des scripts mesurent, l'agent résume et juge.
Pour qui
Pour toi qui veux savoir si les paquets de ton projet te mettent en danger avant de les garder.
Exemples de demandes
- « Audite les dépendances de mon projet Node. »
- « Quelles bibliothèques de mon projet sont abandonnées ? »
- « Y a-t-il des failles connues dans mon fichier de verrouillage ? »
Limites
- Il lit npm, PyPI et Go ; les fichiers yarn.lock, pnpm-lock.yaml et poetry.lock ne sont pas lus.
- Il utilise des données en ligne (gh, registres) ; sans accès, certains critères restent non évalués.
- Une donnée manquante n'est jamais comptée comme un risque, ni comme un feu vert.
- Licence CC-BY-SA-4.0 : le contenu n'est pas recopié ici.
Installer ce skill
Prérequis : Aucun
Copie la commande, colle-la dans ton terminal (Mac) ou PowerShell (Windows), puis confirme toi-même quand le programme te le demande.
Commande (dernière version publiée)
npx skills add https://github.com/trailofbits/skills --skill supply-chain-risk-auditor -a claude-codeIl faut Node.js 22.20 ou plus récent pour la commande npx. Windows : si la création de liens échoue : ajouter --copy (non testé).
Commande figée sur la version vérifiée
Commande figée sur la version vérifiée
npx skills add trailofbits/skills@e4dd0bb5b15535f7c5a0834187dffba6ac37e4ff --skill supply-chain-risk-auditor -a claude-codeCommande vérifiée sur la documentation, pas encore essayée par Neurylio.
Avant d'installer. Lis le fichier SKILL.md sur GitHub, vérifie d'où vient le skill et ce qu'il peut faire. Les leçons du module 7 t'expliquent comment :