Compétences pour l'entreprise

Ce guide est destiné aux administrateurs et architectes d'entreprise qui doivent gouverner les Agent Skills dans toute une organisation. Il couvre comment examiner, évaluer, déployer et gérer les Skills à grande échelle. Pour des conseils de création, voir meilleures pratiques. Pour les détails d'architecture, voir l'aperçu des Skills.

Examen de sécurité et vérification

Le déploiement de Skills en entreprise nécessite de répondre à deux questions distinctes :

1. Les Skills sont-ils sûrs en général ? Voir la section considérations de sécurité dans l'aperçu pour les détails de sécurité au niveau de la plateforme.
2. Comment vérifier une Skill spécifique ? Utilisez l'évaluation des risques et la liste de contrôle d'examen ci-dessous.

Évaluation du niveau de risque

Évaluez chaque Skill par rapport à ces indicateurs de risque avant d'approuver le déploiement :

Liste de contrôle d'examen

Avant de déployer une Skill d'un tiers ou d'un contributeur interne, complétez ces étapes :

1. Lisez tout le contenu du répertoire Skill. Examinez SKILL.md, tous les fichiers markdown référencés et tous les scripts ou ressources fournis.
2. Vérifiez que le comportement du script correspond à l'objectif déclaré. Exécutez les scripts dans un environnement isolé et confirmez que les résultats s'alignent avec la description de la Skill.
3. Vérifiez les instructions adversariales. Recherchez les directives qui demandent à Claude d'ignorer les règles de sécurité, de masquer les actions aux utilisateurs, d'exfiltrer les données par le biais de réponses ou de modifier le comportement en fonction d'entrées spécifiques.
4. Vérifiez les récupérations d'URL externes ou les appels réseau. Recherchez dans les scripts et les instructions les modèles d'accès réseau (http, requests.get, urllib, curl, fetch).
5. Vérifiez l'absence d'identifiants codés en dur. Vérifiez la présence de clés API, de jetons ou de mots de passe dans les fichiers Skill. Les identifiants doivent utiliser des variables d'environnement ou des magasins d'identifiants sécurisés, jamais apparaître dans le contenu Skill.
6. Listez toutes les commandes bash, les opérations de fichiers et les références d'outils. Considérez le risque combiné lorsqu'une Skill utilise à la fois des outils de lecture de fichiers et des outils réseau.

Évaluation des Skills avant le déploiement

Les Skills peuvent dégrader les performances de l'agent s'ils se déclenchent incorrectement, entrent en conflit avec d'autres Skills ou fournissent des instructions médiocres. Exigez une évaluation avant tout déploiement en production.

Ce qu'il faut évaluer

Établissez des portes d'approbation pour ces dimensions avant de déployer une Skill :

Exigences d'évaluation

Exigez que les auteurs de Skill soumettent des suites d'évaluation avec 3-5 requêtes représentatives par Skill, couvrant les cas où la Skill devrait se déclencher, ne devrait pas se déclencher et les cas limites ambigus. Exigez des tests sur les modèles que votre organisation utilise (Haiku, Sonnet, Opus), car l'efficacité de la Skill varie selon le modèle.

Pour des conseils détaillés sur la création d'évaluations, voir évaluation et itération dans les meilleures pratiques. Pour la méthodologie d'évaluation générale, voir développer des cas de test.

Utilisation des évaluations pour les décisions de cycle de vie

Les résultats d'évaluation signalent quand agir :

• Précision de déclenchement en déclin : Mettez à jour la description ou les instructions de la Skill
• Conflits de coexistence : Consolidez les Skills qui se chevauchent ou réduisez les descriptions
• Qualité de sortie constamment faible : Réécrivez les instructions ou ajoutez des étapes de validation
• Défaillances persistantes après les mises à jour : Déclassez la Skill

Gestion du cycle de vie des Skills

Organisation des Skills à grande échelle

Limites de rappel

En règle générale, limitez le nombre de Skills chargées simultanément pour maintenir une précision de rappel fiable. Les métadonnées de chaque Skill (nom et description) concourent pour l'attention dans l'invite système. Avec trop de Skills actives, Claude peut ne pas sélectionner la bonne Skill ou en manquer des pertinentes. Utilisez votre suite d'évaluation pour mesurer la précision du rappel à mesure que vous ajoutez des Skills, et arrêtez d'ajouter quand les performances se dégradent.

Notez que les requêtes API supportent un maximum de 8 Skills par requête (voir Utilisation des Skills avec l'API). Si un rôle nécessite plus de Skills qu'une seule requête ne peut en supporter, envisagez de consolider les Skills étroites en des Skills plus larges ou d'acheminer les requêtes vers différents ensembles de Skills en fonction du type de tâche.

Commencer spécifique, consolider plus tard

Encouragez les équipes à commencer par des Skills étroites et spécifiques aux flux de travail plutôt que par des Skills larges et polyvalentes. À mesure que les modèles émergent dans votre organisation, consolidez les Skills connexes en bundles basés sur les rôles.

Exemple de progression :

• Début : formatting-sales-reports, querying-pipeline-data, updating-crm-records
• Consolider : sales-operations (quand les évals confirment des performances équivalentes)

Nommage et catalogage

Utilisez des conventions de nommage cohérentes dans votre organisation. La section conventions de nommage dans les meilleures pratiques fournit des conseils de formatage.

Maintenez un registre interne pour chaque Skill avec :

• Objectif : Le flux de travail que la Skill supporte
• Propriétaire : L'équipe ou l'individu responsable de la maintenance
• Version : Version actuellement déployée
• Dépendances : Serveurs MCP, packages ou services externes requis
• Statut d'évaluation : Date et résultats de la dernière évaluation

Bundles basés sur les rôles

Groupez les Skills par rôle organisationnel pour garder l'ensemble de Skills actif de chaque utilisateur concentré :

• Équipe commerciale : Opérations CRM, rapports de pipeline, génération de propositions
• Ingénierie : Examen de code, flux de travail de déploiement, réponse aux incidents
• Finance : Génération de rapports, validation des données, préparation d'audit

Chaque bundle basé sur les rôles ne devrait contenir que les Skills pertinentes pour les flux de travail quotidiens de ce rôle.

Distribution et contrôle de version

Contrôle de source

Stockez les répertoires Skill dans Git pour le suivi de l'historique, l'examen du code via les demandes de tirage et la capacité de restauration. Chaque répertoire Skill (contenant SKILL.md et tous les fichiers fournis) correspond naturellement à un dossier suivi par Git.

Distribution basée sur l'API

L'API Skills fournit une distribution à portée d'espace de travail. Les Skills téléchargées via l'API sont disponibles pour tous les membres de l'espace de travail. Voir Utilisation des Skills avec l'API pour les points de terminaison de téléchargement, de versioning et de gestion.

Stratégie de versioning

• Production : Épinglez les Skills à des versions spécifiques. Exécutez la suite d'évaluation complète avant de promouvoir une nouvelle version. Traitez chaque mise à jour comme un nouveau déploiement nécessitant un examen de sécurité complet.
• Développement et test : Utilisez les dernières versions pour valider les modifications avant la promotion en production.
• Plan de restauration : Maintenez la version précédente comme secours. Si une nouvelle version échoue les évaluations en production, revenez immédiatement à la dernière version connue comme bonne.
• Vérification d'intégrité : Calculez les sommes de contrôle des Skills examinées et vérifiez-les au moment du déploiement. Utilisez les commits signés dans votre référentiel Skill pour assurer la provenance.

Considérations multi-surfaces

Maintenez les fichiers source Skill dans Git comme source unique de vérité. Si votre organisation déploie des Skills sur plusieurs surfaces, implémentez votre propre processus de synchronisation pour les garder cohérentes. Pour tous les détails, voir disponibilité multi-surfaces.

Prochaines étapes