chimera-state-what-you-did-not-check
Um ranking feito a partir de uma parte do sistema é lido como um ranking do sistema — escreva o escopo e as exclusões ao lado dos achados, não depois deles.
Conferida por quem revisou e leu o cartão, não reivindicada pelo próprio arquivo. Um cartão que o agente destila durante uma execução que consumiu conteúdo não confiável nasce contaminado e fica retido para revisão antes de alguma vez ser recuperado.
Quando ele vem à mente
- escrevendo uma revisão ou auditoria
- listando os maiores riscos
- reportando achados
- ordenando problemas por severidade
- alguém pergunta se está seguro
Evite e Verifique são onde costuma estar o valor. Faça é a seção que todo mundo escreve.
O corpo do cartão acima é uma tradução. O original em inglês é o que a CLI importa, o que o agente lê em execução e o que o hash abaixo atesta.
Gatilho
Você está entregando algo que se lê como um levantamento: uma revisão de código, uma passada de segurança, "os três maiores problemas", um backlog priorizado, uma comparação de opções. Qualquer coisa em que você olhou uma parte de um espaço e produziu uma ordenação.
Não se aplica a responder uma pergunta delimitada — "esta função trata uma lista vazia?" — onde o escopo já é tudo o que foi perguntado. O risco aqui é específico de uma saída cuja forma é uma lista das piores coisas, porque essa forma carrega um "de tudo" implícito que o leitor vai completar de graça.
Faça
- Abra com o escopo, antes dos achados. Nomeie o que você de fato leu: caminhos ou globs, o commit
ou o branch, e se você rodou alguma coisa ou apenas leu.
Reviewed: src/api/*.py at 4f2a1c9, static read only, no tests executed. - Liste as exclusões com os seus motivos, e mantenha os motivos concretos: não tive acesso às migrations, a suíte de integração precisa de credenciais que eu não tenho, o frontend ficou fora do orçamento desta passada.
- Delimite todo superlativo ao que você leu. Não "o pior problema é a checagem de auth ausente", mas "o pior dos seis handlers que eu li". As duas frases custam o mesmo e significam coisas diferentes.
- Separe "checado e limpo" de "não checado". Um leitor trata o silêncio como atestado de saúde; só um desses dois estados o merece.
- Nomeie a coisa não checada que mais provavelmente superaria o seu número um atual, para que o leitor saiba o que a próxima passada compraria. Se nada plausível pudesse superá-lo, diga isso também — é um achado de verdade.
Evite
Reportar "nenhuma SQL injection encontrada" depois de uma passada que nunca abriu a camada de banco.
A frase é literalmente verdadeira e funciona como um atestado. Escreva "não revisei db/ — sem
acesso aos arquivos de migration" e a mesma passada agora diz o que ela sabe.
Evite colocar o escopo num parágrafo de encerramento sob um título como Limitações. Leitores agem a partir do topo do documento; uma ressalva abaixo da ordenação chega depois da decisão que ela deveria qualificar.
Evite a ordenação que abrange trabalho checado e não checado ao mesmo tempo. Ranquear três módulos revisados contra um que você folheou produz uma lista cujas posições significam coisas diferentes em linhas diferentes, e nada no layout diz ao leitor qual é qual.
Verifique
Faça uma pergunta binária ao documento pronto: um leitor que não estava presente consegue nomear os arquivos que você leu e os que não leu, sem te perguntar? Se não, o escopo está faltando, por mais cuidadosos que sejam os achados.
Segundo, releia todo superlativo — pior, principal, maior, único, nenhum — e confirme que cada um carrega o seu qualificador na mesma frase. Essas palavras são onde o parcial silenciosamente vira global.
Risco
Listas de exclusão podem crescer até virar imunidade geral: um documento que se isenta de tudo não afirma nada, e revisores que os escrevem deixam de ser responsáveis pela parte que de fato cobriram. Mantenha a lista nas exclusões que um leitor de outra forma suporia estarem incluídas.
Declarar o escopo também convida ao "então vá checar o resto", o que às vezes é a decisão errada — uma passada deliberadamente parcial sobre a superfície de maior risco pode ser o uso correto do tempo. Se for o caso, diga por que aquela superfície foi escolhida, ou a divulgação honesta será lida como trabalho inacabado.
E escopo não substitui profundidade. "Eu li estes seis arquivos" não significa que os seis foram bem lidos, e uma fronteira precisa em volta de um trabalho raso continua produzindo achados rasos.
Como usar
O cartão é dado. Clone o repositório e importe pelo caminho — o que chega pela rede é tratado como contaminado e fica retido para aprovação, que é o comportamento desejável e a razão de não haver um instalador de uma linha aqui.
git clone https://github.com/brcampidelli/chimera-agent.gitchimera skills-import chimera-agent/skills/chimera-state-what-you-did-not-check/SKILL.mdIntegridade
SHA-256 do arquivo como publicado. Quem importa pode conferir que o que recebeu é o que esta página mostrou.
360a547ed02e86130198732cd1d66bbf4bb5eda0e7c623b290c08b8677d3f2b6