chimera-state-what-you-did-not-check
Ein Ranking, das aus einem Teil des Systems entsteht, liest sich als Ranking des Systems — schreibe Umfang und Ausschlüsse neben die Befunde, nicht dahinter.
Verliehen von der Person, die die Karte gelesen hat — nicht von der Datei über sich selbst behauptet. Eine Karte, die der Agent während eines Laufs mit nicht vertrauenswürdigen Inhalten destilliert, kommt kontaminiert zur Welt und wird bis zur Prüfung zurückgehalten, bevor sie jemals abgerufen wird.
Wann sie in den Sinn kommt
- ein Review oder Audit schreiben
- die größten Risiken auflisten
- Befunde melden
- Probleme nach Schweregrad sortieren
- jemand fragt, ob es sicher ist
In Vermeiden und Prüfen steckt meist der Wert. Tun ist der Abschnitt, den alle schreiben.
Der Kartentext oben ist eine Übersetzung. Das englische Original ist das, was die CLI importiert, was der Agent zur Laufzeit liest und was der Hash unten bezeugt.
Auslöser
Sie liefern etwas ab, das sich als Überblick liest: ein Code-Review, einen Sicherheitsdurchgang, „die drei größten Probleme", ein priorisiertes Backlog, einen Optionsvergleich. Alles, wo Sie einen Teil eines Raums angeschaut und daraus eine Rangfolge produziert haben.
Das gilt nicht für die Beantwortung einer eng gefassten Frage — „behandelt diese Funktion eine leere Liste?" —, wo der Umfang bereits das Ganze des Gefragten ist. Das Risiko hier betrifft speziell Ausgaben, deren Form eine Liste der schlimmsten Dinge ist, denn diese Form trägt ein implizites „von allem", das der Leser kostenlos ergänzt.
Tun
- Beginnen Sie mit dem Umfang, vor den Befunden. Nennen Sie, was Sie tatsächlich gelesen haben:
Pfade oder Globs, den Commit oder Branch, und ob Sie etwas ausgeführt oder nur gelesen haben.
Reviewed: src/api/*.py at 4f2a1c9, static read only, no tests executed. - Listen Sie die Ausschlüsse mit ihrer Begründung auf, und halten Sie die Begründungen konkret: kein Zugriff auf die Migrationen, die Integrations-Suite braucht Zugangsdaten, die ich nicht habe, das Frontend lag außerhalb des Budgets für diesen Durchgang.
- Begrenzen Sie jeden Superlativ auf das, was Sie gelesen haben. Nicht „das schlimmste Problem ist die fehlende Auth-Prüfung", sondern „das schlimmste der sechs Handler, die ich gelesen habe". Die beiden Sätze kosten gleich viel und bedeuten Verschiedenes.
- Trennen Sie „geprüft und sauber" von „nicht geprüft". Ein Leser behandelt Schweigen als Unbedenklichkeitsbescheinigung; nur einer dieser beiden Zustände verdient sie.
- Nennen Sie das ungeprüfte Ding, das am ehesten Ihre aktuelle Nummer eins überholen könnte, damit der Leser weiß, was der nächste Durchgang bringen soll. Wenn nichts Plausibles das könnte, sagen Sie auch das — es ist ein echter Befund.
Vermeiden
„Keine SQL-Injection gefunden" zu melden nach einem Durchgang, der die Datenbankschicht nie
geöffnet hat. Der Satz ist wörtlich wahr und wirkt als Freigabe. Schreiben Sie „db/ nicht geprüft
— kein Zugriff auf die Migrationsdateien", und derselbe Durchgang sagt jetzt, was er weiß.
Vermeiden Sie es, den Umfang in einen Schlussabsatz unter einer Überschrift wie Limitations zu setzen. Leser handeln nach dem Anfang des Dokuments; ein Vorbehalt unterhalb der Rangfolge kommt nach der Entscheidung an, die er eigentlich einschränken sollte.
Vermeiden Sie die Rangfolge, die geprüfte und ungeprüfte Arbeit übergreift. Drei geprüfte Module gegen eines zu ranken, das Sie überflogen haben, produziert eine Liste, deren Positionen in verschiedenen Zeilen Verschiedenes bedeuten, und nichts im Layout sagt dem Leser, welche welche ist.
Prüfen
Stellen Sie dem fertigen Dokument eine binäre Frage: Kann ein Leser, der nicht dabei war, die Dateien benennen, die Sie gelesen haben, und die, die Sie nicht gelesen haben, ohne Sie zu fragen? Wenn nicht, fehlt der Umfang, egal wie sorgfältig die Befunde sind.
Zweitens: Lesen Sie jeden Superlativ erneut — schlimmste, wichtigste, einzige, kein — und bestätigen Sie, dass jeder seine Einschränkung im selben Satz trägt. An diesen Wörtern wird aus dem Teilweisen still das Globale.
Risiko
Ausschlusslisten können zu pauschaler Immunität anwachsen: Ein Dokument, das alles ausschließt, behauptet nichts, und Reviewer, die solche schreiben, hören auf, für den Teil verantwortlich zu sein, den sie abgedeckt haben. Halten Sie die Liste auf Ausschlüsse begrenzt, von denen ein Leser sonst annehmen würde, sie seien enthalten.
Den Umfang zu nennen lädt außerdem zu „dann prüf halt den Rest" ein, was manchmal die falsche Entscheidung ist — ein bewusst partieller Durchgang über die risikoreichste Oberfläche kann die richtige Verwendung der Zeit sein. Wenn ja, sagen Sie, warum diese Oberfläche gewählt wurde, sonst wird die ehrliche Offenlegung als unfertige Arbeit gelesen.
Und Umfang ist kein Ersatz für Tiefe. „Ich habe diese sechs Dateien gelesen" heißt nicht, dass die sechs gut gelesen wurden, und eine präzise Grenze um oberflächliche Arbeit erzeugt immer noch oberflächliche Befunde.
Verwenden
Die Karte ist Daten. Klonen Sie das Repository und importieren Sie sie über den Pfad — was über das Netz kommt, gilt als kontaminiert und wird bis zur Freigabe zurückgehalten. Das ist das gewünschte Verhalten und der Grund, warum es hier keinen Einzeiler-Installer gibt.
git clone https://github.com/brcampidelli/chimera-agent.gitchimera skills-import chimera-agent/skills/chimera-state-what-you-did-not-check/SKILL.mdIntegrität
SHA-256 der Datei in der veröffentlichten Fassung. Wer sie importiert, kann prüfen, dass das Empfangene dem entspricht, was diese Seite gezeigt hat.
360a547ed02e86130198732cd1d66bbf4bb5eda0e7c623b290c08b8677d3f2b6