blast-radius

Files (4)

• LICENSE
• SKILL.md
• openai.yaml · agents/
• sources.md · references/

SKILL.md (first lines)

# 改动影响分析

沿实际消费链找出 diff 外的影响，用可复跑证据检验关键安全假设。可独立使用；核对原文与适配时读 [来源说明](references/sources.md)。

## 确定范围与假设

- 核对请求指定的 diff、文件或提交，记录实际基线、HEAD、未提交改动与新增文件。不要默认 base 是 main；基线无法确定时明确比较范围与限制，不擅自扩大分析。
- 说明行为如何改变，找出安全所依赖的关键事实，允许有多个假设。先看真实路径，再选择值得证明的假设。
- 追到 diff 外的消费方。按实际关联检查锁定依赖与本地补丁、序列化与协议、跨语言消费、生命周期与并发、持久化、功能开关。符号搜索只提供线索；未搜到调用方不能证明无影响。

## 推进证据

每个假设分别标明证据到哪一层，以及在哪里停止；事实、推断与实跑结果分开：

| 层次 | 能说明什么 |
|---|---|
| 待证主张 | 尚无支持证据 |
| 源码定位 | 具体版本的 `文件:行号` 支持某个局部事实 |
| 路径推导 | 写明输入、分支和消费链，推导触发或不可达条件 |
| 真实代码运行 | 最小脚本或测试调用实际实现，关键判断错误时明确失败 |
| 运行中应用复现 | 在明确实例和用户路径中观察到结果 |

优先执行项目实际使用的代码及锁定依赖，避免重写相似算法或用 mock 代替关键实现。记录代码版本或哈希、依赖版本、输入、完整命令、退出码、原始输出和清理后保留的证据路径。反例非零退出是风险证据，不改断言或目标产品来伪造通过。

普通分析可在当前授权内于隔离临时位置编写和执行最小证明，不改产品代码。严格只读请求仅做允许的静态检查，运行层标待证。不借验证使用未授权生产数据、发送消息或引入外部副作用；缺能力、环境或必要授权时记录缺口，继续可独立完成的分析。

## 给出有界结论

简短交付：

- **改动与关键假设**：说明行为差异、消费链及各假设的证据层次。
- **已确认风险**：关联机制、真实 `文件:行号`、现实触发条件、影响和证明。描述触发机会的依据，不编造概率数字。
- **有证据排除的情形**：列出输入、版本和路径边界，说明为何排除。一个样例通过不能推广为全部场景安全。
- **尚待证明**：列出疑点与缺口，区分未执行和已执行失败；附最小后续验证建议。

源码说明和静态推演不写成已运行；测试脚本不写成应用复现；风险候选清单不充当发现。提交可核对的输出，避免无证据的形容和私人信息泄露。

复杂任务可复用包内 [conductor](../agent-conductor/SKILL.md) 协调，模型选择沿用其 [setup](../agent-conductor-setup/SKILL.md)；独立分析不要求模型扫描、并行或固定 Agent 数量。影响证据供后续验收选路径，不能替代 `verify-<app>` 的完整功能验收。分析请求不自动授权产品修复、提交、推送或合并。

From sunny0826/agent-conductor-skill, MIT.

More from sunny0826/agent-conductor-skill