EN CLAIR
À quoi sert ce skill ?
Supply Chain Risk Auditor est le processus de Trail of Bits pour auditer de manière mesurée les dépendances des projets npm, PyPI et Go. Des collecteurs déterministes examinent les dépendances directes et celles des fichiers de verrouillage afin de détecter les avis de sécurité, l’abandon, la concentration des éditeurs et les scripts d’installation, avant toute interprétation humaine.
- Recueillir des éléments sur les dépendancesMesurez les manifestes et fichiers de verrouillage pris en charge au lieu de faire des estimations de mémoire.
- Distinguer l’inconnu de l’absence de problèmeMarquez les critères indisponibles comme non évaluables au lieu de les considérer silencieusement comme réussis.
- Prioriser les correctionsAjoutez au rapport factuel des chemins de mise à niveau vérifiés et des remplacements possibles.
- Les scripts déterministes conservent la donnée qui sous-tend chaque conclusion.
- Refuse de considérer l’absence de mesures comme un résultat sans anomalie.
Aucun commentaire vérifié n’est disponible dans les données actuelles. Consultez la source indiquée pour les discussions récentes.
Lire la source ↗INSTALLER SELON L’AGENT
Choisir votre agent
Les chemins proviennent de la documentation officielle des agents ou de l’installateur universel utilisé par skills.sh. La compatibilité dépend toujours de la fiche du skill.
npx skills add trailofbits/skills --skill supply-chain-risk-auditor --agent claude-codenpx skills add trailofbits/skills --skill supply-chain-risk-auditor --agent claude-code -gL’installation dans le projet reste dans ce dépôt et peut être partagée avec l’équipe. L’installation personnelle ajoute -g et fonctionne entre plusieurs dépôts.
Voir les chemins d’installation
.claude/skills/supply-chain-risk-auditor/~/.claude/skills/supply-chain-risk-auditor/Claude Code détecte automatiquement les dossiers de skills personnalisés dans le projet ou le répertoire personnel.
Voir la source du chemin ↗PROCESSUS TYPIQUE
Des usages concrets
Recueillir des éléments sur les dépendances
Mesurez les manifestes et fichiers de verrouillage pris en charge au lieu de faire des estimations de mémoire.
Distinguer l’inconnu de l’absence de problème
Marquez les critères indisponibles comme non évaluables au lieu de les considérer silencieusement comme réussis.
Prioriser les corrections
Ajoutez au rapport factuel des chemins de mise à niveau vérifiés et des remplacements possibles.
AVANTAGES ET LIMITES
Ce qu’il apporte et ses limites
Points forts
- Les scripts déterministes conservent la donnée qui sous-tend chaque conclusion.
- Refuse de considérer l’absence de mesures comme un résultat sans anomalie.
Limites
- N’analyse pas complètement yarn.lock, pnpm-lock.yaml, poetry.lock ni les écosystèmes non pris en charge.
- Les données sur l’état des dépôts et les avis de sécurité peuvent être incomplètes, retardées ou indisponibles sans authentification.
PUBLIC CONCERNÉ
Pour qui ?
Équipes de sécurité qui examinent l’exposition liée aux dépendances tierces
Responsables techniques qui évaluent l’arbre des dépendances avant une publication ou une mission
AVANT UTILISATION
Risques à examiner
Exposition des métadonnées de registre et de dépôt
La collecte envoie des requêtes externes contenant les noms et versions des dépendances du projet. Vérifiez que les métadonnées des paquets peuvent quitter l’environnement et limitez la portée des identifiants de registre privé.
SÉCURITÉ
Comprendre les permissions
- Conservez les résultats des collecteurs hors du dépôt audité, sauf demande explicite.
- Présentez les suggestions de remplacement comme des recommandations, et non comme des faits mesurés.
Aucune certification de sécurité. Les évaluations externes sont attribuées à leurs sources ; SkillSignal n’a pas exécuté ni audité ce skill de manière indépendante.
DANS LE PAQUET
Fichiers répertoriés
MOTS-CLÉS
Fiche éditoriale originale de SkillSignal fondée sur le commit 32e34f81 de Trail of Bits, vérifiée le 2026-09-23 ; elle n’a pas été exécutée ni certifiée de façon indépendante en matière de sécurité.