Habilidades para empresas

Esta guía es para administradores y arquitectos empresariales que necesitan gobernar Agent Skills en toda una organización. Cubre cómo revisar, evaluar, implementar y gestionar Skills a escala. Para orientación sobre autoría, consulta mejores prácticas. Para detalles de arquitectura, consulta la descripción general de Skills.

Revisión de seguridad y evaluación

Implementar Skills en una empresa requiere responder dos preguntas distintas:

1. ¿Son las Skills seguras en general? Consulta la sección consideraciones de seguridad en la descripción general para detalles de seguridad a nivel de plataforma.
2. ¿Cómo evalúo una Skill específica? Utiliza la evaluación de riesgos y la lista de verificación de revisión a continuación.

Evaluación de nivel de riesgo

Evalúa cada Skill contra estos indicadores de riesgo antes de aprobar la implementación:

Lista de verificación de revisión

Antes de implementar cualquier Skill de un tercero o colaborador interno, completa estos pasos:

1. Lee todo el contenido del directorio de Skill. Revisa SKILL.md, todos los archivos markdown referenciados y cualquier script o recurso incluido.
2. Verifica que el comportamiento del script coincida con el propósito indicado. Ejecuta scripts en un entorno aislado y confirma que los resultados se alineen con la descripción de la Skill.
3. Busca instrucciones adversariales. Busca directivas que le digan a Claude que ignore reglas de seguridad, oculte acciones a los usuarios, exfiltre datos a través de respuestas o altere el comportamiento según entradas específicas.
4. Busca búsquedas de URL externas o llamadas de red. Busca en scripts e instrucciones patrones de acceso de red (http, requests.get, urllib, curl, fetch).
5. Verifica que no haya credenciales codificadas. Busca claves de API, tokens o contraseñas en archivos de Skill. Las credenciales deben usar variables de entorno o almacenes de credenciales seguros, nunca aparecer en contenido de Skill.
6. Identifica herramientas y comandos que la Skill instruye a Claude a invocar. Lista todos los comandos bash, operaciones de archivo y referencias de herramientas. Considera el riesgo combinado cuando una Skill usa herramientas de lectura de archivos y de red juntas.
7. Confirma destinos de redirección. Si la Skill hace referencia a URLs externas, verifica que apunten a dominios esperados.
8. Verifica que no haya patrones de exfiltración de datos. Busca instrucciones que lean datos sensibles y luego los escriban, envíen o codifiquen para transmisión externa, incluyendo a través de respuestas conversacionales de Claude.

Evaluación de Skills antes de la implementación

Las Skills pueden degradar el rendimiento del agente si se activan incorrectamente, entran en conflicto con otras Skills o proporcionan instrucciones deficientes. Requiere evaluación antes de cualquier implementación en producción.

Qué evaluar

Establece puertas de aprobación para estas dimensiones antes de implementar cualquier Skill:

Requisitos de evaluación

Requiere que los autores de Skill envíen suites de evaluación con 3-5 consultas representativas por Skill, cubriendo casos donde la Skill debe activarse, no debe activarse y casos límite ambiguos. Requiere pruebas en los modelos que tu organización utiliza (Haiku, Sonnet, Opus), ya que la efectividad de la Skill varía según el modelo.

Para orientación detallada sobre la construcción de evaluaciones, consulta evaluación e iteración en mejores prácticas. Para metodología de evaluación general, consulta desarrollar casos de prueba.

Usar evaluaciones para decisiones de ciclo de vida

Los resultados de evaluación señalan cuándo actuar:

• Precisión de activación decreciente: Actualiza la descripción o instrucciones de la Skill
• Conflictos de coexistencia: Consolida Skills superpuestas o estrecha descripciones
• Calidad de salida consistentemente baja: Reescribe instrucciones o agrega pasos de validación
• Fallos persistentes en actualizaciones: Depreca la Skill

Gestión del ciclo de vida de Skill

Organización de Skills a escala

Límites de recuperación

Como pauta general, limita el número de Skills cargadas simultáneamente para mantener la precisión de recuperación confiable. Los metadatos de cada Skill (nombre y descripción) compiten por atención en el mensaje del sistema. Con demasiadas Skills activas, Claude puede no seleccionar la Skill correcta o perder las relevantes por completo. Utiliza tu suite de evaluación para medir la precisión de recuperación a medida que agregas Skills y detente cuando el rendimiento se degrade.

Ten en cuenta que las solicitudes de API admiten un máximo de 8 Skills por solicitud (consulta Usar Skills con la API). Si un rol requiere más Skills de las que una sola solicitud admite, considera consolidar Skills estrechas en más amplias o enrutar solicitudes a diferentes conjuntos de Skills según el tipo de tarea.

Comienza específico, consolida después

Anima a los equipos a comenzar con Skills estrechas y específicas del flujo de trabajo en lugar de amplias y multipropósito. A medida que emergen patrones en tu organización, consolida Skills relacionadas en paquetes basados en roles.

Ejemplo de progresión:

• Inicio: formatting-sales-reports, querying-pipeline-data, updating-crm-records
• Consolidar: sales-operations (cuando las evaluaciones confirmen rendimiento equivalente)

Nomenclatura y catalogación

Utiliza convenciones de nomenclatura consistentes en toda tu organización. La sección convenciones de nomenclatura en mejores prácticas proporciona orientación de formato.

Mantén un registro interno para cada Skill con:

• Propósito: Qué flujo de trabajo admite la Skill
• Propietario: Equipo o individuo responsable del mantenimiento
• Versión: Versión implementada actual
• Dependencias: Servidores MCP, paquetes o servicios externos requeridos
• Estado de evaluación: Fecha de última evaluación y resultados

Paquetes basados en roles

Agrupa Skills por rol organizacional para mantener el conjunto de Skills activo de cada usuario enfocado:

• Equipo de ventas: Operaciones de CRM, informes de canalización, generación de propuestas
• Ingeniería: Revisión de código, flujos de trabajo de implementación, respuesta a incidentes
• Finanzas: Generación de informes, validación de datos, preparación de auditoría

Cada paquete basado en roles debe contener solo las Skills relevantes para los flujos de trabajo diarios de ese rol.

Distribución y control de versiones

Control de fuente

Almacena directorios de Skill en Git para seguimiento de historial, revisión de código a través de solicitudes de extracción y capacidad de reversión. Cada directorio de Skill (que contiene SKILL.md y cualquier archivo incluido) se asigna naturalmente a una carpeta rastreada por Git.

Distribución basada en API

La API de Skills proporciona distribución con alcance de área de trabajo. Las Skills cargadas a través de la API están disponibles para todos los miembros del área de trabajo. Consulta Usar Skills con la API para carga, versionado y puntos finales de gestión.

Estrategia de versionado

• Producción: Fija Skills a versiones específicas. Ejecuta la suite de evaluación completa antes de promover una nueva versión. Trata cada actualización como una nueva implementación que requiere revisión de seguridad completa.
• Desarrollo y pruebas: Utiliza las últimas versiones para validar cambios antes de la promoción a producción.
• Plan de reversión: Mantén la versión anterior como respaldo. Si una nueva versión falla evaluaciones en producción, revierte a la última versión conocida como buena inmediatamente.
• Verificación de integridad: Calcula sumas de verificación de Skills revisadas y verifica en el momento de la implementación. Utiliza commits firmados en tu repositorio de Skill para asegurar la procedencia.

Consideraciones entre superficies

Mantén archivos de fuente de Skill en Git como la única fuente de verdad. Si tu organización implementa Skills en múltiples superficies, implementa tu propio proceso de sincronización para mantenerlas consistentes. Para detalles completos, consulta disponibilidad entre superficies.

Próximos pasos