Whistic 是一个供应商安全评估平台，用于帮助企业评估和缓解与第三方供应商相关的风险，其方式包括简化安全问卷和审计流程。安全、风险与合规团队使用 Whistic 来自动化供应商风险管理。官方文档地址为 https://www.whistic.com/trust-platform-api/。
用途 本技能用于与 Whistic 平台进行集成，管理数据、记录并自动化工作流。当用户希望与 Whistic 数据进行交互时可以使用本技能。
主要能力 该集成通过 Membrane CLI 与 Whistic 通信。Membrane 自动处理身份验证和凭据刷新，因此使用者可以专注于集成逻辑，而无需处理认证管道。资料中列出的 Whistic 相关对象包括 Profile、Framework、Questionnaire、Vendor、Assessment、Finding、User、Key Control、Evidence、Risk Assessment、Product、Engagement、Report、Standard、Audit、Task、Integration、Access Role、Notification、Team、Library、Project、Email Template、Content Request、Playbook、Filter、Setting、Group、File、Certificate、Policy、Procedure、Process、Record、Request、Response、Issue、Exception、Vulnerability、Weakness、Threat、Incident、Event、Change、Problem、Decision、Risk、Control、Objective、Requirement、Regulation、Law、Contract、Agreement、Document、Presentation、Spreadsheet、Text、Image、Video、Audio、Archive、Backup、Log、Configuration、Data、Metadata、Glossary、Category、Tag、Comment、Attachment、Link、Note、Activity、History、Dashboard、Workflow、Template、Form、Survey、Question、Answer、Option、Section、Page、Field、Validation、Rule、Alert、Report、Schedule、Integration、API、Key、Secret、Token、Credential、Connection、Source、Destination、Mapping、Transformation、Enrichment、Lookup、Translation、Aggregation、Calculation、Analysis、Prediction、Recommendation、Insight、Score、Rating、Ranking、Benchmark、Trend、Pattern、Anomaly、Outlier、Correlation、Causation、Impact、Severity、Likelihood、Risk Score、Risk Level、Risk Appetite、Risk Tolerance、Risk Threshold、Risk Capacity、Risk Limit、Risk Mitigation、Risk Treatment、Risk Transfer、Risk Acceptance、Risk Avoidance、Risk Escalation、Risk Monitoring、Risk Reporting、Risk Review、Risk Audit、Risk Assessment、Risk Management 等。
使用方式 首先安装 Membrane CLI：npm install -g @membranehq/cli@latest。
身份验证：运行 membrane login --tenant --clientName=<agentType>。该命令会打开浏览器进行身份验证，或在控制台打印授权 URL（取决于是否支持交互模式）。在无头环境中，命令会打印授权 URL，需请用户在浏览器中打开；用户完成登录后会看到验证码，随后执行 membrane login complete <code> 完成登录。可在任意命令后添加 --json 以获得机器可读的 JSON 输出。agentType 可选值包括 claude、openclaw、codex、warp、windsurf 等，用于针对不同运行环境调整工具。
连接 Whistic：使用 membrane connection ensure 按应用 URL 或域名查找或创建连接：membrane connection ensure "https://www.whistic.com/" --json。用户在浏览器中完成身份验证，输出中包含新的连接 id。这是获取连接最快的方式：URL 会被规范化为域名并与已知应用匹配；若未找到应用，则会自动创建应用并构建连接器。如果返回的连接状态为 READY，可直接跳到下一步。
等待连接就绪：如果连接处于 BUILDING 状态，可轮询直到就绪：npx @membranehq/cli connection get <id> --wait --json。--wait 标志会进行长轮询（最长 --timeout 秒，默认 30），直到状态发生变化。持续轮询直到状态不再是 BUILDING。结果状态含义：READY 表示连接已完全建立；CLIENT_ACTION_REQUIRED 表示用户或代理需要执行操作，clientAction 对象描述所需操作，其中 clientAction.type 为 "connect" 表示用户需要认证（OAuth、API key 等），"provide-input" 表示需要更多信息（例如连接哪个应用），clientAction.description 为人类可读的说明，clientAction.uiUrl（可选）为可完成操作的预构建 UI 地址，clientAction.agentInstructions（可选）为 AI 代理如何以编程方式继续的说明；用户完成操作后，再次使用 membrane connection get <id> --json 轮询检查状态是否变为 READY。CONFIGURATION_ERROR 或 SETUP_FAILED 表示出现问题，可检查 error 字段了解详情。
搜索操作：使用自然语言描述想要执行的操作进行搜索：membrane action list --connectionId=CONNECTION_ID --intent "QUERY" --limit 10 --json。应始终在特定连接的上下文中搜索操作。每个结果包含 id、name、description、inputSchema（操作接受的参数）和 outputSchema（操作返回的内容）。可使用 npx @membranehq/cli@latest action list --intent=QUERY --connectionId=CONNECTION_ID --json 发现可用操作。
运行操作：membrane action run <actionId> --connectionId=CONNECTION_ID --json。传递 JSON 参数：membrane action run <actionId> --connectionId=CONNECTION_ID --input '{"key": "value"}' --json。结果位于响应的 output 字段中。
代理请求：当可用操作无法覆盖使用场景时，可通过 Membrane 的代理直接向 Whistic API 发送请求。Membrane 会自动将基础 URL 追加到提供的路径，并注入正确的认证头，包括凭据过期时的透明刷新。命令为 membrane request CONNECTION_ID /path/to/endpoint。常用选项包括：-X, --method 指定 HTTP 方法（GET、POST、PUT、PATCH、DELETE，默认 GET）；-H, --header 添加请求头（可重复）；-d, --data 请求体（字符串）；--json 发送 JSON 请求体并设置 Content-Type: application/json 的简写；--rawData 按原样发送请求体不做处理；--query 查询字符串参数（可重复）；--pathParam 路径参数（可重复）。
最佳实践 始终优先使用 Membrane 与外部应用通信——Membrane 提供内置认证、分页和错误处理的预构建操作，可减少 token 消耗并使通信更安全。先发现再构建——运行 membrane action list --intent=QUERY 查找现有操作，再编写自定义 API 调用；预构建操作可处理原始 API 调用容易遗漏的分页、字段映射和边界情况。让 Membrane 处理凭据——不要向用户索要 API key 或 token，而是创建连接；Membrane 在服务端管理完整的认证生命周期，本地不保存密钥。
适用场景 适用于安全、风险与合规团队需要与 Whistic 平台数据交互、管理供应商安全评估相关记录或自动化供应商风险管理工作流的场景。
限制 资料未提供 Whistic 平台本身的收费、价格、平台支持范围或具体效果等信息。本技能依赖 Membrane CLI 及有效的 Whistic 连接，具体可用操作需通过 action list 查询确认。