כל סקיל עובר אצלנו שלוש בדיקות אבטחה לפני פרסום: סריקת קוד אוטומטית, בדיקת ספריות חיצוניות וסקירה אנושית. בניגוד למאגרים פתוחים כמו ClawHub, אצלנו שום דבר לא עולה בלי ביקורת.
כל סקיל עובר שלוש בדיקות עצמאיות לפני שמחושבים לו ציון ותג האמון: סריקת אבטחה עמוקה של Tank, אימות שרשרת אספקה מול המפרט של agentskills.io ואותות האבטחה של GitHub, וביקורת ידנית של הצוות של skills-il. פירוט של כל בדיקה מופיע למטה.
כל סקיל עובר 6 שלבי בדיקה של Tank: מבידוד בסביבה מבודדת, דרך ניתוח קוד וזיהוי הזרקות, ועד סריקת כל הספריות החיצוניות.
הסקיל יורד ונכנס לסביבה מבודדת לפני שנוגעים בקוד
וידוא שמבנה החבילה תקין, הקבצים מהסוג הנכון והמניפסט שלם
סריקת הקוד עם Bandit ו-Semgrep לאיתור חולשות ותבניות מסוכנות
איתור ניסיונות הזרקת פרומפט, השתלטות על הסוכן וניסיונות מניפולציה
חיפוש מפתחות API, סיסמאות ופרטי גישה שנחשפו בקוד
בדיקת כל הספריות החיצוניות מול מאגר הפגיעויות של OSV
עובד עם Tank Security Scanner
כל סקיל בקטלוג נבדק מול המפרט הפתוח של agentskills.io בנוסף לבדיקות האבטחה של GitHub. התוצאות מופיעות בעמוד של הסקיל, בחלק של ציון אבטחה וגרסה. שרתי MCP עוברים תהליך אמון נפרד ולא נכללים באימות GitHub.
חמישה אותות חובה: תאימות למפרט, סריקת סודות, סריקת קוד, גרסה חתומה, ורישיון מוצהר. אם כולם עוברים, הסקיל מקבל את תג ה'מאומת' הירוק.
שמונה אותות נוספים על מצב הרפו: הגנת תגים, הגנת ברנץ׳, קומיטים חתומים, SECURITY.md, MFA, CODEOWNERS, Dependabot ותאימות semver.
שני אותות נוספים: גרסה עדכנית (פחות מ-180 יום) ו-tree SHA של הגרסה תואם ל-HEAD של הברנץ׳ הראשי.
סקיל מקבל את התג רק כשחמשת האותות הקריטיים עוברים: חתימת Sigstore שנוצרה ב-workflow של GitHub Actions בארגון skills-il, סריקת סודות וסריקת קוד פעילות, ורישיון SPDX.
אותות הגרסה מתעדכנים בכל push. אותות הגדרות הרפו (סריקת סודות, סריקת קוד, MFA, הגנת ברנץ׳) מתעדכנים פעם בשבוע ב-workflow של GitHub Actions. תאימות למפרט נבדקת בעזרת `gh skill publish --dry-run` מול agentskills.io.
לפני שסקיל עולה לאתר, הצוות של skills-il עובר עליו ובודק תאימות למפרט, איכות תוכן ודגלים אדומים בולטים. זאת לא ביקורת אבטחה לעומק — Tank ואימות GitHub עושים את העבודה האוטומטית הכבדה — אלא שער אנושי אחרון לפני פרסום בקטלוג.
ציון האמון מחושב לפי חמישה מדדים
| רמה | טווח | תיאור |
|---|---|---|
| מאומת | 90 - 100 | עבר את כל הבדיקות כולל סקירה אנושית מלאה |
| אמין | 70 - 89 | עבר סריקות אוטומטיות וסקירה אנושית חלקית |
| קהילתי | 50 - 69 | עבר סריקות אוטומטיות בסיסיות, מחכה לסקירה מלאה |
| מאומת חלקית | 0 - 49 | עבר בדיקה בסיסית אבל עדיין עם מעט פעילות קהילתית ונתוני שימוש |
איך האבטחה שלנו נראית בהשוואה לפלטפורמות אחרות
| תכונה | Skills IL | אחרים |
|---|---|---|
| ניתוח קוד סטטי | כן | מוגבל |
| סריקת ספריות חיצוניות | כן | חלקי |
| ביקורת אבטחה אנושית | כן | לא |
| מערכת ציון אמון | כן | לא |
| ביקורת תוכן בעברית | כן | לא |
| סריקה עמוקה ב-6 שלבים | כן | לא |