SuperAPI AI 工具集

skeptical-triage

通用与其它

查看项目

更新于 10-15 17:22

技能介绍

该技能用于从多角度审查、安全审计、QA 回归标记等高代价判断中过滤误报,避免误报直接变成阻断项。核心是 3 轮质疑式自审再加一个中立仲裁者,并根据投票给出置信度。

适用场景包括 /review 中安全、SQL、隐私、并发等角度的 P0/P1,/review --deep 的任意角度 P0/P1,security-officer 的 CSO 审计 P0/P1,qa-engineer 的 flaky 测试判定,以及 architect 的 ADR 权衡争议。P2/建议类不适用;源码或 git 中的密钥、已确认 CVE 等硬发现不进行分诊。

流程为:第 1 轮检查前提是否成立,如攻击者可达性、回归是否可复现、约束是否真实绑定;第 2 轮核实被引用的防御或反证是否真实充分,需用 Grep 找到实际实现行并解析常量数值;第 3 轮寻找遗漏角度,如错误路径、溢出、竞态、不同调用方、平台差异,且不得重复前两轮,只能补充新证据或认输。仲裁者基于全部 3 轮、原始问题和源码给出最终 VALID 或 INVALID,并给出一句话 crux。

硬性规则包括:找不到防御即视为 VALID;常量名不算已验证边界,必须解析其值;必须指明具体行号;不要在同一回答中自相矛盾;代码质量不等于安全漏洞;相信自己的推理。置信度按 valid_rounds_before_arbiter / 3 计算。结果记录到 .great_cto/triage-log.jsonl,并用 jq 命令统计误报率和平均达成共识所需轮数。

每个被分诊的发现约需 4 次 LLM 调用,典型 PR 约 5-10 个发现,即每次 /review 额外 20-40 轮。成本敏感时可只分诊 P0。反模式包括:不要分诊 P2、不要让各轮重复、不要在 UNCERTAIN 时跳过仲裁、不要隐藏仲裁者推翻投票的情况。以上功能、命令与限制均来自所给资料,其他信息暂未提供。