MessagesSkills

Skills para empresas

Copy page



Governança, revisão de segurança, avaliação e orientação organizacional para implantar Agent Skills em escala empresarial.

Este guia é para administradores e arquitetos empresariais que precisam governar Agent Skills em uma organização. Ele aborda como examinar, avaliar, implantar e gerenciar Skills em escala. Para orientação sobre criação, consulte melhores práticas. Para detalhes de arquitetura, consulte a visão geral de Skills.

Revisão de segurança e verificação

Implantar Skills em uma empresa requer responder a duas perguntas distintas:

1. As Skills são seguras em geral? Consulte a seção considerações de segurança na visão geral para detalhes de segurança em nível de plataforma.
2. Como verifico uma Skill específica? Use a seguinte avaliação de risco e lista de verificação de revisão.

Avaliação de nível de risco

Avalie cada Skill em relação a estes indicadores de risco antes de aprovar a implantação:

Lista de verificação de revisão

Antes de implantar qualquer Skill de terceiros ou de um colaborador interno, complete estas etapas:

1. Leia todo o conteúdo do diretório da Skill. Revise o SKILL.md, todos os arquivos markdown referenciados e quaisquer scripts ou recursos incluídos.
2. Verifique se o comportamento do script corresponde ao propósito declarado. Execute scripts em um ambiente isolado (sandbox) e confirme que as saídas estão alinhadas com a descrição da Skill.
3. Verifique instruções adversárias. Procure diretivas que digam a Claude para ignorar regras de segurança, ocultar ações dos usuários, exfiltrar dados por meio de respostas ou alterar o comportamento com base em entradas específicas.
4. Verifique buscas de URL externas ou chamadas de rede. Pesquise scripts e instruções em busca de padrões de acesso à rede (http, requests.get, urllib, curl, fetch).
5. Verifique que não há credenciais codificadas. Verifique se há chaves de API, tokens ou senhas em arquivos da Skill. As credenciais devem usar variáveis de ambiente ou armazenamentos seguros de credenciais, nunca aparecer no conteúdo da Skill.
6. Identifique ferramentas e comandos que a Skill instrui Claude a invocar. Liste todos os comandos bash, operações de arquivo e referências a ferramentas. Considere o risco combinado quando uma Skill usa ferramentas de leitura de arquivo e de rede juntas.
7. Confirme os destinos de redirecionamento. Se a Skill referenciar URLs externas, verifique se elas apontam para domínios esperados.
8. Verifique que não há padrões de exfiltração de dados. Procure instruções que leiam dados sensíveis e depois os escrevam, enviem ou codifiquem para transmissão externa, inclusive por meio das respostas conversacionais de Claude.

Verificação de conteúdo de Skills

Organizações Claude Enterprise podem ativar a verificação automatizada de segurança para Skills personalizadas em claude.ai e Claude Cowork. Depois de ativar a verificação de segurança de Skills e plugins em claude.ai > Configurações da organização > Skills, as Skills que os membros então carregam ou editam em claude.ai ou Cowork são verificadas em busca de sinais de comportamento malicioso, como execução de código oculta, envio de seus dados para um serviço externo ou instruções que adulteram as proteções de Claude. Uma Skill que falha na verificação, ou cuja verificação não foi concluída, é bloqueada para uso. Uma Skill que passa com um aviso permanece utilizável atrás de um aviso de cautela. Se a verificação estiver disponível para sua organização, ative-a. Ela complementa, mas não substitui, a lista de verificação de revisão.

A verificação não cobre a Claude API. As Skills que você carrega por meio da Skills API (/v1/skills), inclusive a partir do Claude Console, não são verificadas, portanto, para implantações via API, confie na lista de verificação de revisão e no fixação de versão. A verificação também não se aplica a Skills que já estavam em sua organização quando você a ativou, ou a organizações com certas configurações de tratamento de dados, como chaves de criptografia gerenciadas pelo cliente (CMEK), retenção zero de dados (ZDR) ou prontidão para HIPAA. Para etapas de configuração, exclusões e tipos de resultado, consulte Comece com a verificação de skills e plugins na Central de Ajuda de Claude.

Avaliando Skills antes da implantação

As Skills podem degradar o desempenho do agente se forem acionadas incorretamente, entrarem em conflito com outras Skills ou fornecerem instruções ruins. Exija avaliação antes de qualquer implantação em produção.

O que avaliar

Estabeleça portões de aprovação para estas dimensões antes de implantar qualquer Skill:

Requisitos de avaliação

Exija que os autores de Skills enviem conjuntos de avaliação com 3 a 5 consultas representativas por Skill, cobrindo casos em que a Skill deve ser acionada, não deve ser acionada e casos extremos ambíguos. Exija testes nos modelos que sua organização usa (Haiku, Sonnet, Opus), porque a eficácia da Skill varia por modelo.

Para orientação detalhada sobre a construção de avaliações, consulte avaliação e iteração em melhores práticas. Para metodologia geral de avaliação, consulte desenvolver casos de teste.

Usando avaliações para decisões de ciclo de vida

Os resultados da avaliação sinalizam quando agir:

• Precisão de acionamento em declínio: Atualize a descrição ou as instruções da Skill
• Conflitos de coexistência: Consolide Skills sobrepostas ou restrinja descrições
• Qualidade de saída consistentemente baixa: Reescreva instruções ou adicione etapas de validação
• Falhas persistentes entre atualizações: Descontinue a Skill

Gerenciamento do ciclo de vida de Skills

1. 1

   Planejar

   Identifique fluxos de trabalho que são repetitivos, propensos a erros ou que exigem conhecimento especializado. Mapeie-os para funções organizacionais e determine quais são candidatos a Skills.

2. 2

   Criar e revisar

   Garanta que o autor da Skill siga as melhores práticas. Exija uma revisão de segurança usando a lista de verificação de revisão. Exija um conjunto de avaliação antes da aprovação. Estabeleça separação de funções: os autores de Skills não devem ser seus próprios revisores.

3. 3

   Testar

   Exija avaliações em isolamento (Skill sozinha) e junto com Skills existentes (teste de coexistência). Verifique a precisão de acionamento, a qualidade da saída e a ausência de regressões em seu conjunto de Skills ativas antes de aprovar para produção.

4. 4

   Implantar

   Carregue por meio da Skills API para acesso em todo o workspace. Consulte Usando Skills com a API para carregamento e gerenciamento de versões. Documente a Skill em seu registro interno com propósito, proprietário e versão.

5. 5

   Monitorar

   Acompanhe padrões de uso e colete feedback dos usuários. Execute novamente as avaliações periodicamente para detectar desvios ou regressões à medida que os fluxos de trabalho e os modelos evoluem. As análises de uso não estão atualmente disponíveis por meio da Skills API. Implemente registro em nível de aplicação para rastrear quais Skills estão incluídas nas solicitações.

6. 6

   Iterar ou descontinuar

   Exija que o conjunto completo de avaliação seja aprovado antes de promover novas versões. Atualize as Skills quando os fluxos de trabalho mudarem ou as pontuações de avaliação diminuírem. Descontinue as Skills quando as avaliações falharem consistentemente ou o fluxo de trabalho for desativado.

Organizando Skills em escala

Limites de recuperação

Como diretriz geral, limite o número de Skills carregadas simultaneamente para manter a precisão confiável de recuperação. Os metadados de cada Skill (nome e descrição) competem por atenção no prompt do sistema. Com muitas Skills ativas, Claude pode falhar em selecionar a Skill certa ou perder completamente as relevantes. Use seu conjunto de avaliação para medir a precisão de recuperação à medida que adiciona Skills, e pare de adicionar quando o desempenho degradar.

Observe que as solicitações de API suportam no máximo 20 Skills por solicitação (consulte Usando Skills com a API). Se uma função exigir mais Skills do que uma única solicitação suporta, considere consolidar Skills restritas em outras mais amplas ou rotear solicitações para diferentes conjuntos de Skills com base no tipo de tarefa.

Comece específico, consolide depois

Incentive as equipes a começar com Skills restritas e específicas de fluxo de trabalho, em vez de amplas e multipropósito. À medida que os padrões surgem em sua organização, consolide Skills relacionadas em pacotes baseados em função.

Exemplo de progressão:

• Início: formatting-sales-reports, querying-pipeline-data, updating-crm-records
• Consolidação: sales-operations (quando as avaliações confirmam desempenho equivalente)

Nomenclatura e catalogação

Use convenções de nomenclatura consistentes em toda a sua organização. A seção convenções de nomenclatura em melhores práticas fornece orientação de formatação.

Mantenha um registro interno para cada Skill com:

• Propósito: Qual fluxo de trabalho a Skill suporta
• Proprietário: Equipe ou indivíduo responsável pela manutenção
• Versão: Versão atualmente implantada
• Dependências: Servidores MCP, pacotes ou serviços externos necessários
• Status de avaliação: Data e resultados da última avaliação

Pacotes baseados em função

Agrupe Skills por função organizacional para manter o conjunto de Skills ativas de cada usuário focado:

• Equipe de vendas: Operações de CRM, relatórios de pipeline, geração de propostas
• Engenharia: Revisão de código, fluxos de trabalho de implantação, resposta a incidentes
• Finanças: Geração de relatórios, validação de dados, preparação de auditoria

Cada pacote baseado em função deve conter apenas as Skills relevantes para os fluxos de trabalho diários dessa função.

Distribuição e controle de versão

Controle de origem

Armazene diretórios de Skills no Git para rastreamento de histórico, revisão de código por meio de pull requests e capacidade de reversão. Cada diretório de Skill (contendo SKILL.md e quaisquer arquivos incluídos) mapeia naturalmente para uma pasta rastreada pelo Git.

Distribuição baseada em API

A Skills API fornece distribuição com escopo de workspace. As Skills carregadas por meio da API estão disponíveis para todos os membros do workspace. Consulte Usando Skills com a API para endpoints de carregamento, versionamento e gerenciamento.

Estratégia de versionamento

• Produção: Fixe as Skills em versões específicas. Se você omitir version, as solicitações usam a versão mais recente, então uma nova versão carregada por qualquer pessoa no workspace altera imediatamente o que os agentes de produção executam. Execute o conjunto completo de avaliação antes de promover uma nova versão. Trate cada atualização como uma nova implantação que requer revisão de segurança completa.
• Desenvolvimento e teste: Use as versões mais recentes para validar mudanças antes da promoção para produção.
• Plano de reversão: Mantenha a versão anterior como alternativa. Se uma nova versão falhar nas avaliações em produção, reverta imediatamente para a última versão conhecida como boa.
• Verificação de integridade: Calcule checksums das Skills revisadas e verifique-os no momento da implantação. Use commits assinados em seu repositório de Skills para garantir a procedência.

Considerações entre superfícies

Mantenha os arquivos de origem das Skills no Git como a única fonte de verdade. Se sua organização implanta Skills em várias superfícies, implemente seu próprio processo de sincronização para mantê-las consistentes. Para detalhes completos, consulte disponibilidade entre superfícies.

Próximos passos