reviewing-dependencies

feat(bitwarden-security-engineer): 将扫描器分类从 Checkmarx/SonarCloud/Grype 迁移到 Aikido (#226) * feat(bitwarden-security-engineer): 将扫描器分类从 Checkmarx/SonarCloud/Grype 迁移到 Aikido Bitwarden 已将 SAST、IaC、SCA、secrets、cloud、container、malware、 EOL 和 license 扫描迁移到 Aikido，作为单一统一数据源。更新 插件的分类和依赖审查技能、agent，以及 perform-security-review 的证据收集以保持一致，并升级到 1.4.0。 - triaging-security-findings: 通过 aikido:issues 技能查询发现项，而不是 GHAS code-scanning API；分类现在通过 Jira 流转（参见 VULN-665），而不是特定工具的忽略 状态；记录了 Jira 评论格式、严重性映射，以及 组作用域操作验证陷阱 - reviewing-dependencies: Aikido 取代 Grype 进行容器/SCA 扫描 - perform-security-review: scan-evidence 步骤现在从 Aikido 获取 SAST/IaC 发现项，而不是现在为空的 GHAS code-scanning 端点 - agent + README 已更新以反映新的工具链 * fix(bitwarden-security-engineer): 解决 Aikido 迁移的 PR 前审查发现 - 将已解析的 Aikido MCP 工具添加到 perform-security-review 的 allowed-tools，以便新的 scan-evidence 步骤能够实际访问它 而不是静默返回空 - 恢复 triaging-security-findings 中的 False Positive Protocol 部分 （数据流追踪、sanitizer-vs-validator、完整生命周期、 记录的理由），该部分在 Aikido 重写期间被删除 - 停止在 reviewing-dependencies 中将 cloud_instance Aikido 问题类型归入 "container images" —— 它是一个独立的云 VM/实例 类别 - 在插件 README 中将 aikido 插件记录为先决条件 - 修复语法并为 VULN-665 引用添加阅读指引 * Update plugins/bitwarden-security-engineer/README.md Co-authored-by: claude[bot] * Update README.md Co-authored-by: claude[bot] * fix(bitwarden-security-engineer): 解决 Aikido 迁移的 PR 审查发现 解决 withinfocus 的 PR 审查：将 Jira 分类标准内联到 triaging-security-findings 中，而不是指向一个可变的 Jira 工单，修正严重性映射的 Hotfix/Critical 行，添加 当 aikido:issues 技能不可用时的回退指导，精简 过时的 Grype 比较语言，并根据 Keep a Changelog 惯例 压缩/重新分类 CHANGELOG 条目。 * fix(bitwarden-security-engineer): 解决 Aikido 迁移剩余的 PR 审查发现 授予 agent 它缺失的 Aikido MCP 工具，以便 triaging-security-findings 和 reviewing-dependencies 在通过它路由时能够访问该数据源，更新 README 技能表，移除已退役的 Checkmarx/SonarCloud/Grype/GHAS 描述， 并让 perform-security-review 的 Aikido 证据具有与其其他扫描器相同的 结果词汇，这样缺失的会话就不会被解读为干净的扫描。将 插件升级到 2.1.0，并将 Aikido 迁移的 changelog 条目从 已发布的 1.4.0 部分移到它们自己的部分。 * docs(bitwarden-security-engineer): 澄清用法示例和 aikido 安装路径 Usage 块在 "Install the plugin and invoke the agent:" 之后没有 标签，因此它们读起来像是要运行的命令，而不是示例提示。按照 其他插件 README 的方式重新表述引导语。 先决条件还将 `aikido` 安装指向 `claude-plugins-official` 市场。根据 PR #228，该插件改为作为此 市场中的外部条目固定，因此指明上游作者并给出实际的安装 命令。该命令的解析依赖于 #228 落地。 Co-Authored-By: Claude Opus 5 (1M context) * fix(bitwarden-security-engineer): 修正 README 中 aikido 插件的安装来源 aikido 插件来自 claude-plugins-official 市场， 而不是 bitwarden-marketplace 中的固定条目。相应修正安装 命令和 changelog 条目。 * fix(bitwarden-security-engineer): 为 Agent 2 提供预取的 Aikido SCA/容器证据 perform-security-review 禁止 Agent 2 实时调用 aikido:issues， 同时又告诉它调用 reviewing-dependencies，而后者的 Aikido 数据源正是同一个技能。步骤 1-C 现在预取 open_source 和 docker_container 发现项以及 SAST/IaC，以便 Agent 2 通过 SCAN_EVIDENCE 块 获得数据。 * fix(bitwarden-security-engineer): 解决剩余的 Aikido PR 审查发现 - 在 perform-security-review 的 scan-evidence 规则中区分空响应与 None/Not available；将 Not available 关联到失败/未认证的响应 - 在 README 技能表和 perform-security-review 的先决条件中 反映 Aikido SCA/容器证据（不仅仅是 SAST/IaC） * fix(bitwarden-security-engineer): 解决第二轮 Aikido PR 审查发现 - 改写 agent 修复后验证，报告供工程师应用的 Jira 更新， 而不是确认一个它没有工具访问的工单 - 逐字恢复已发布的 2.0.0 CHANGELOG 条目；将 Aikido 步骤 1-C 的措辞保留在 2.1.0 条目中 - 在 perform-security-review 的子代理约束和 reviewing-dependencies 中 将 Aikido MCP 工具与 Skill(aikido:issues) 并列命名，以便持有授权的子代理 无法重新获取已预提供的证据 - 更新 tool-grants.md 以匹配步骤 1-C：将 prompt/deny 措辞限定到两个 gh api 扫描器，并从精确名称工具作用域论证 Aikido MCP 授权的安全性 （仅 aikido_issues_list，而非 aikido_ignore_issue 变更操作） - 去重 CVSS 约定：在 triaging-security-findings 中说明，从 reviewing-dependencies 指向那里 - 在 triaging-security-findings 的 gh api 示例中固定 API 版本头，以获得稳定的 --jq 输出 - 精简 2.1.0 CHANGELOG 条目 * Update plugins/bitwarden-security-engineer/skills/triaging-security-findings/SKILL.md Co-authored-by: claude[bot] * Update plugins/bitwarden-security-engineer/skills/reviewing-dependencies/SKILL.md Co-authored-by: Patrick Honkonen * fix(bitwarden-security-engineer): 移除不可操作的 Aikido 授权理由部分 SaintPatrck 指出 tool-grants.md 中的 "Why the Aikido MCP grant is pre-approved" 部分 读起来像是在为审查评论辩护，而不是 可操作的指导。移除它以及现在悬空的交叉引用，并 删除相应的 CHANGELOG 提及。 --------- Co-authored-by: claude[bot] Co-authored-by: Graham Walker Co-authored-by: Claude Opus 5 (1M context) Co-authored-by: Patrick Honkonen

提供安全工程师 agent (#49) * 提供安全工程师 agent * 应用 Anthropic 的 skill-development 技能 * 实现技能增强 * 集成我们的安全定义和原则 * 基于我们的真实练习进一步明确定义格式 * 集中面向人类的链接并将其移出技能 * 将大型技能重构为参考和示例