Hilos · 9 noticias en 39 días
Repos: Cloudflare publicó security-audit-skill, la skill que semilló su propio harness de búsqueda de vulnerabilidades, y sumó 849 estrellas en el día (20/10)
- Noticias
- 9
- Briefings
- 9
- Empieza
- Última
-
Repos: mattpocock/skills sumó 736 estrellas en el día con un set de skills sobre disciplina de ingeniería, no sobre generar código (30/09)
La tesis del repo es que los agentes fallan siempre por lo mismo: arrancan desalineados, escriben de más, dejan bugs y degradan la arquitectura. Las skills atacan cada una de esas: /grill-me interroga al usuario hasta que el objetivo está claro antes de tocar código, /tdd arma el ciclo de test primero, y hay skills invocadas por el modelo para debugging, revisión y mejora de arquitectura, más herramientas de modelado de dominio que bajan la verbosidad estableciendo vocabulario compartido. Funciona con Claude Code, Codex y otros agentes, y se instala como plugin de Claude Code o con npx skills@latest add mattpocock/skills si se prefieren los archivos editables. GitHub
-
Repos: la skill de auditoría de seguridad de Cloudflare sumó 3.607 estrellas en el día y el revisor de código de Alibaba 3.286 (02/10)
La de Cloudflare es una skill para agentes de código que corre la auditoría en seis fases —reconocimiento, caza guiada por cobertura, validación de candidatos, salida estructurada, verificación independiente de cada registro y reporte neutral respecto del blanco— y clasifica cada hallazgo como confirmed con traza completa al código fuente, needs_validation o rejected. Deja architecture.md, coverage-ledger.json, un findings.json validado contra esquema, y tres reportes en Markdown; se instala con npx skills add, licencia MIT, y la página del repo ya marca 16.600 estrellas. open-code-review de Alibaba —34.836 estrellas, Apache 2.0, npm install -g @alibaba-group/open-code-review— es lo mismo pero para revisión de PRs, con una arquitectura híbrida donde lo determinista elige y posiciona los archivos y el agente decide y busca contexto. Lo que lo hace interesante es el trade-off declarado: sobre 50 repos y 200 pull requests dice sacar más precisión y F1 que agentes de propósito general consumiendo cerca de 1/9 de los tokens, a costa de recall más bajo a propósito. GitHub Trending · GitHub · GitHub
-
Repos: mattpocock/skills sumó 1.028 estrellas en el día con un set de skills de ingeniería que atacan los modos de falla del agente, no sus capacidades (06/10)
El criterio declarado es el útil: cada skill apunta a una falla concreta —agente desalineado con lo que querías, verborrágico, con bugs, o degradando la arquitectura—. Las que se invocan a mano son /grill-with-docs para alinear vocabulario del dominio antes de empezar, /triage como máquina de estados para issues, /implement con TDD y revisión adentro, /improve-codebase-architecture para buscar refactors, y /wayfinder para planificar trabajo que no entra en una sesión. Las que llama el modelo solo son /tdd, /diagnosing-bugs, /code-review con dos ejes —estándares y cumplimiento del spec— y /research contra fuentes primarias. Se instala con claude plugins install mattpocock-skills o npx skills@latest add mattpocock/skills, y después /setup-matt-pocock-skills una vez por repo. Licencia MIT. GitHub · Trending
-
Repos: Cloudflare liberó security-audit-skill, una skill de auditoría de seguridad en seis fases con hallazgos verificados de forma independiente — 538 estrellas en el día (07/10)
Lo que la distingue de pedirle a un agente "buscá vulnerabilidades" es la estructura: reconocimiento, caza guiada por cobertura, validación de candidatos, salida estructurada, verificación independiente y reporte neutral. Trae archivos por clase de ataque —seguridad de memoria, LLMs, protocolos web, infraestructura cloud— más un validador de hallazgos y un validador del libro de cobertura, con report-schema.json definiendo la forma de la salida. El artefacto es un findings.json con tres veredictos: confirmado, necesita validación o rechazado, más reportes en markdown. Ese veredicto de tres estados es la parte que conviene copiar incluso si no usás la skill: separar lo confirmado de lo plausible es lo que hace que la salida de un agente sirva para trabajar. Licencia MIT, se instala con npx skills add --skill security-audit. GitHub · Trending
-
Repos: pstack-claude sumó 232 estrellas en el día portando el stack de skills de Cursor a Claude Code, Codex, Copilot y Pi (08/10)
Es el port del pstack de Lauren Tan, originalmente una skill opinada de Cursor, a otros harnesses, y sigue el upstream declarando sus bifurcaciones de política en tools/forks.json. La entrada es poteto-mode: declarás un objetivo y elige el playbook —planificación, features, refactors, performance, investigaciones, prototipos, mantenimiento de PRs, shipping, proyectos largos—, apoyado en skills sueltas how, why, architect, arena, swarm, interrogate y unslop. El flujo para un bug es el que vale copiar incluso sin instalarlo: reproducir la falla primero, investigar con how y why, delegar el arreglo y volver a correr el caso que fallaba, y si el arreglo cruza un límite de función meter architect antes. setup-pstack configura modelo y esfuerzo de razonamiento por rol. No tiene servidor ni telemetría. Licencia MIT para el port, 1.142 estrellas. GitHub · Trending
-
Repos: Matt Pocock publicó su directorio de skills y sumó 1.696 estrellas en el día (09/10)
El primitivo que vale copiar incluso sin instalar nada es grilling: una sesión donde el agente interroga en detalle antes de empezar a trabajar, y sobre la que se apoyan grill-me, grill-with-docs y to-spec. Lo demás son skills chicas y componibles, divididas entre las que invoca el usuario —triage, to-tickets, implement, wayfinder para trabajo muy grande, improve-codebase-architecture— y las que elige el modelo solo: prototype, diagnosing-bugs, tdd, domain-modeling, code-review, resolving-merge-conflicts. La idea de fondo contra el gasto de tokens son los archivos CONTEXT.md y los ADRs, que le dan al agente vocabulario del proyecto. En Claude Code se instala como plugin con claude plugins install mattpocock-skills, en el resto con npx skills@latest add mattpocock/skills —no las dos cosas, o quedan duplicadas—, y después hay que correr /setup-matt-pocock-skills una vez por repo. Licencia MIT. GitHub · Trending
-
Repos: Cloudflare publicó security-audit-skill, la skill que semilló su propio harness de búsqueda de vulnerabilidades, y sumó 849 estrellas en el día (20/10)
Es una skill MIT que convierte al agente de código en auditor de seguridad con un pipeline de seis fases: reconocimiento de arquitectura y límites de confianza, caza guiada por cobertura con "hunters" aislados y críticos de cobertura, validación donde un verificador nuevo intenta refutar cada candidato, salida estructurada a findings.json con estados confirmed/needs_validation/rejected, verificación independiente por agentes frescos, y reporte final en REPORT.md, FINDINGS-DETAIL.md y NEEDS-VALIDATION.md. Se instala con npx skills add --skill security-audit, con --global para instalación a nivel usuario, y va por 33.204 estrellas totales con apenas 14 commits en main: es un repo nuevo que explotó. Lo que el README no dice de entrada es lo que decide si sirve: necesita un agente con tool use y subagentes en paralelo, Node.js para los validadores y, sobre todo, un sandbox a nivel sistema operativo —sin eso los hallazgos quedan en needs_validation y el código auditado nunca se ejecuta—. El único número que publica es autoinformado y flojo: una sola corrida encontró alrededor de la mitad de las vulnerabilidades que hallaron corridas repetidas en total. GitHub · Trending
-
Repos: graphify convierte un repo en un grafo de conocimiento consultable con AST local y sin vector store, y sumó 1.434 estrellas en el día hasta 130.991 (21/10)
Es Apache 2.0 y se usa como skill: uv tool install graphifyy, después graphify install detecta el asistente y registra el comando, y desde ahí /graphify. mapea código, docs, PDFs, imágenes y video a un grafo que se consulta con graphify query "<pregunta>", graphify path A B para trazar cómo se conectan dos cosas y graphify explain para una sola. La decisión de diseño es la interesante: el código se parsea localmente con tree-sitter —determinista, sin LLM, sin que nada salga de la máquina, y un corpus solo de código no necesita API key—, y cada arista queda etiquetada EXTRACTED o INFERRED, así que se distingue lo leído del source de lo resuelto por la herramienta. Los números que publica son más honestos que el promedio porque dicen dónde pierde: 0,497 de recall@10 en LOCOMO contra 0,048 de mem0 y 0,149 de supermemory, pero 45,3% de QA accuracy contra 49,7% de supermemory, y 76% en LongMemEval-S empatado con RAG densa, todo en el mismo harness con un juez validado contra un segundo juez (90,6% de acuerdo, kappa de Cohen 0,81). Dos cosas a tener en cuenta: el paquete oficial en PyPI es graphifyy con doble y —los otros graphify* no están afiliados—, y el repo empuja fuerte un producto de pago, Graphify Cloud, cuyo "80% menos de tokens" no tiene respaldo publicado. GitHub · Trending
-
Las skills de agentes barren el trending de GitHub: la de auditoría de seguridad de Cloudflare suma 2.524 estrellas en un día (07/11)
Cuatro de los repos que más crecen hoy son colecciones de skills, y el patrón es el mismo: empaquetar un procedimiento con varias fases en vez de un prompt. cloudflare/security-audit-skill (+2.524 estrellas hoy, 63,9k en total) convierte a un agente de código en auditor de seguridad orquestando agentes aislados en seis fases: reconocimiento, que mapea arquitectura, límites de confianza y superficies de entrada y deja la cobertura anotada en architecture.md y coverage-ledger.json; caza guiada por cobertura, con cazadores aislados asignados desde el ledger y críticos que buscan los huecos; validación de candidatos, donde un verificador nuevo intenta refutar cada candidato único; salida estructurada a findings.json con registros confirmed, needs_validation y rejected chequeados contra un esquema; verificación independiente de los registros por agentes nuevos; y reporte final en REPORT.md, FINDINGS-DETAIL.md y NEEDS-VALIDATION.md. Las corridas sucesivas sobre el mismo repo son acumulativas y usan los ledgers anteriores para apuntar a los huecos. Se instala con npx skills add --skill security-audit y necesita un agente con uso de herramientas y subagentes en paralelo, más Node.js; el código controlado por el objetivo debería correr en un sandbox impuesto por el sistema operativo, y sin eso el flujo deja las pistas como needs_validation en vez de ejecutar. El README aclara que este repo es el punto de partida de un solo repositorio para el harness de descubrimiento de vulnerabilidades que Cloudflare construyó después. Los otros tres: mattpocock/skills (+2.058 hoy, 307,2k estrellas, MIT), con skills invocables por el usuario como grill-me, to-spec e implement y otras que el modelo activa solo, como tdd, diagnosing-bugs y code-review; NVIDIA/auto-ontology (+2.005), un framework de capas de razonamiento semántico sobre grafos para generación determinística de consultas en flujos de LLMs y agentes; y google/skills (+532), la biblioteca de skills para productos y tecnologías de Google. GitHub — Cloudflare · GitHub — mattpocock · agents-radar
GitHub — Cloudflare GitHub — mattpocock agents-radar Google GitHub Nvidia
El hilo se arma solo en cada build: junta noticias de días distintos que nombran a la misma entidad y repiten vocabulario que casi no aparece en el resto del archivo. Nadie lo edita a mano, así que puede dejar afuera una noticia o sumar una de al lado.