Compétences pour l'entreprise

Ce guide est destiné aux administrateurs et architectes d'entreprise qui doivent gouverner les compétences d'agent dans une organisation. Il couvre comment examiner, évaluer, déployer et gérer les compétences à l'échelle. Pour des conseils de création, voir les meilleures pratiques. Pour les détails architecturaux, voir l'aperçu des compétences.

Examen de sécurité et vérification

Le déploiement de compétences en entreprise nécessite de répondre à deux questions distinctes :

1. Les compétences sont-elles sûres en général ? Voir la section considérations de sécurité dans l'aperçu pour les détails de sécurité au niveau de la plateforme.
2. Comment vérifier une compétence spécifique ? Utilisez l'évaluation des risques et la liste de contrôle d'examen ci-dessous.

Évaluation du niveau de risque

Évaluez chaque compétence par rapport à ces indicateurs de risque avant d'approuver le déploiement :

Liste de contrôle d'examen

Avant de déployer une compétence d'un tiers ou d'un contributeur interne, complétez ces étapes :

1. Lisez tout le contenu du répertoire de compétences. Examinez SKILL.md, tous les fichiers markdown référencés et tous les scripts ou ressources fournis.
2. Vérifiez que le comportement du script correspond à l'objectif déclaré. Exécutez les scripts dans un environnement isolé et confirmez que les résultats correspondent à la description de la compétence.
3. Vérifiez les instructions adversariales. Recherchez les directives qui indiquent à Claude d'ignorer les règles de sécurité, de masquer les actions aux utilisateurs, d'exfiltrer les données par les réponses ou de modifier le comportement en fonction d'entrées spécifiques.
4. Vérifiez les récupérations d'URL externes ou les appels réseau. Recherchez dans les scripts et les instructions les modèles d'accès réseau (http, requests.get, urllib, curl, fetch).
5. Vérifiez qu'il n'y a pas d'identifiants codés en dur. Vérifiez les clés API, les jetons ou les mots de passe dans les fichiers de compétences. Les identifiants doivent utiliser des variables d'environnement ou des magasins d'identifiants sécurisés, jamais apparaître dans le contenu de la compétence.
6. Identifiez les outils et commandes que la compétence demande à Claude d'invoquer. Listez toutes les commandes bash, les opérations de fichiers et les références d'outils. Considérez le risque combiné lorsqu'une compétence utilise à la fois les outils de lecture de fichiers et les outils réseau.
7. Confirmez les destinations de redirection. Si la compétence référence des URL externes, vérifiez qu'elles pointent vers les domaines attendus.
8. Vérifiez l'absence de modèles d'exfiltration de données. Recherchez les instructions qui lisent les données sensibles, puis les écrivent, les envoient ou les encodent pour une transmission externe, y compris par les réponses conversationnelles de Claude.

Évaluation des compétences avant le déploiement

Les compétences peuvent dégrader les performances de l'agent si elles se déclenchent incorrectement, entrent en conflit avec d'autres compétences ou fournissent des instructions médiocres. Exigez une évaluation avant tout déploiement en production.

Ce qu'il faut évaluer

Établissez des portes d'approbation pour ces dimensions avant de déployer une compétence :

Exigences d'évaluation

Exigez que les auteurs de compétences soumettent des suites d'évaluation avec 3-5 requêtes représentatives par compétence, couvrant les cas où la compétence doit se déclencher, ne doit pas se déclencher et les cas limites ambigus. Exigez des tests sur les modèles que votre organisation utilise (Haiku, Sonnet, Opus), car l'efficacité des compétences varie selon le modèle.

Pour des conseils détaillés sur la création d'évaluations, voir évaluation et itération dans les meilleures pratiques. Pour la méthodologie d'évaluation générale, voir développer des cas de test.

Utilisation des évaluations pour les décisions de cycle de vie

Les résultats d'évaluation signalent quand agir :

• Précision de déclenchement déclinante : Mettez à jour la description ou les instructions de la compétence
• Conflits de coexistence : Consolidez les compétences qui se chevauchent ou réduisez les descriptions
• Qualité de sortie constamment faible : Réécrivez les instructions ou ajoutez des étapes de validation
• Échecs persistants après les mises à jour : Déclassez la compétence

Gestion du cycle de vie des compétences

Organisation des compétences à l'échelle

Limites de rappel

En règle générale, limitez le nombre de compétences chargées simultanément pour maintenir une précision de rappel fiable. Les métadonnées de chaque compétence (nom et description) concourent pour l'attention dans l'invite système. Avec trop de compétences actives, Claude peut ne pas sélectionner la bonne compétence ou en manquer des pertinentes. Utilisez votre suite d'évaluation pour mesurer la précision du rappel à mesure que vous ajoutez des compétences, et arrêtez d'ajouter lorsque les performances se dégradent.

Notez que les requêtes API supportent un maximum de 8 compétences par requête (voir Utilisation des compétences avec l'API). Si un rôle nécessite plus de compétences qu'une seule requête ne peut en supporter, envisagez de consolider les compétences étroites en compétences plus larges ou d'acheminer les requêtes vers différents ensembles de compétences en fonction du type de tâche.

Commencer spécifique, consolider plus tard

Encouragez les équipes à commencer par des compétences étroites et spécifiques aux flux de travail plutôt que par des compétences larges et polyvalentes. À mesure que des modèles émergent dans votre organisation, consolidez les compétences connexes en ensembles basés sur les rôles.

Exemple de progression :

• Début : formatting-sales-reports, querying-pipeline-data, updating-crm-records
• Consolidation : sales-operations (lorsque les évaluations confirment des performances équivalentes)

Nommage et catalogage

Utilisez des conventions de nommage cohérentes dans votre organisation. La section conventions de nommage dans les meilleures pratiques fournit des conseils de formatage.

Maintenez un registre interne pour chaque compétence avec :

• Objectif : Le flux de travail que la compétence supporte
• Propriétaire : L'équipe ou l'individu responsable de la maintenance
• Version : Version actuellement déployée
• Dépendances : Serveurs MCP, packages ou services externes requis
• Statut d'évaluation : Date et résultats de la dernière évaluation

Ensembles basés sur les rôles

Groupez les compétences par rôle organisationnel pour garder l'ensemble actif de compétences de chaque utilisateur concentré :

• Équipe commerciale : Opérations CRM, rapports de pipeline, génération de propositions
• Ingénierie : Examen de code, flux de travail de déploiement, réponse aux incidents
• Finance : Génération de rapports, validation des données, préparation d'audit

Chaque ensemble basé sur les rôles ne doit contenir que les compétences pertinentes pour les flux de travail quotidiens de ce rôle.

Distribution et contrôle de version

Contrôle de source

Stockez les répertoires de compétences dans Git pour le suivi de l'historique, l'examen du code via les demandes de tirage et la capacité de restauration. Chaque répertoire de compétences (contenant SKILL.md et tous les fichiers fournis) correspond naturellement à un dossier suivi par Git.

Distribution basée sur l'API

L'API des compétences fournit une distribution à l'échelle de l'espace de travail. Les compétences téléchargées via l'API sont disponibles pour tous les membres de l'espace de travail. Voir Utilisation des compétences avec l'API pour les points de terminaison de téléchargement, de versioning et de gestion.

Stratégie de versioning

• Production : Épinglez les compétences à des versions spécifiques. Exécutez la suite d'évaluation complète avant de promouvoir une nouvelle version. Traitez chaque mise à jour comme un nouveau déploiement nécessitant un examen de sécurité complet.
• Développement et test : Utilisez les dernières versions pour valider les modifications avant la promotion en production.
• Plan de restauration : Maintenez la version précédente comme secours. Si une nouvelle version échoue les évaluations en production, revenez immédiatement à la dernière version connue comme bonne.
• Vérification d'intégrité : Calculez les sommes de contrôle des compétences examinées et vérifiez-les au moment du déploiement. Utilisez les commits signés dans votre référentiel de compétences pour assurer la provenance.

Considérations multi-surfaces

Maintenez les fichiers source de compétences dans Git comme source unique de vérité. Si votre organisation déploie des compétences sur plusieurs surfaces, implémentez votre propre processus de synchronisation pour les garder cohérentes. Pour les détails complets, voir disponibilité multi-surfaces.

Étapes suivantes