triaging-security-findings

feat(bitwarden-security-engineer)：将扫描器分类从 Checkmarx/SonarCloud/Grype 迁移到 Aikido (#226) * feat(bitwarden-security-engineer)：将扫描器分类从 Checkmarx/SonarCloud/Grype 迁移到 Aikido Bitwarden 已将 SAST、IaC、SCA、secrets、cloud、container、malware、 EOL 和 license 扫描迁移到 Aikido，作为单一统一数据源。更新 插件的分类和依赖审查技能、agent，以及 perform-security-review 的证据收集以保持一致，并升级到 1.4.0。 - triaging-security-findings：通过 aikido:issues 技能查询发现项，而不是 GHAS code-scanning API；分类现在通过 Jira 流转（参见 VULN-665），而不是特定工具的驳回 状态；记录了 Jira 评论格式、严重性映射，以及 组作用域操作验证陷阱 - reviewing-dependencies：Aikido 取代 Grype 进行 container/SCA 扫描 - perform-security-review：scan-evidence 步骤现在从 Aikido 获取 SAST/IaC 发现项，而不是现在为空的 GHAS code-scanning 端点 - agent + README 已更新以反映新的工具链 * fix(bitwarden-security-engineer)：处理 Aikido 迁移的 PR 前审查发现 - 将已解析的 Aikido MCP 工具添加到 perform-security-review 的 allowed-tools，以便新的 scan-evidence 步骤能够实际访问它， 而不是静默返回空结果 - 恢复 triaging-security-findings 中的 False Positive Protocol 部分 （数据流追踪、sanitizer-vs-validator、完整生命周期、 记录的理由），该部分在 Aikido 重写期间被删除 - 停止在 reviewing-dependencies 中将 cloud_instance Aikido 问题类型归入 "container images" —— 它是一个独立的云 VM/实例 类别 - 在插件 README 中将 aikido 插件记录为先决条件 - 修复语法并为 VULN-665 引用添加阅读指引 * 更新 plugins/bitwarden-security-engineer/README.md Co-authored-by: claude[bot] * 更新 README.md Co-authored-by: claude[bot] * fix(bitwarden-security-engineer)：处理 Aikido 迁移的 PR 审查发现 处理 withinfocus 的 PR 审查：将 Jira 分类准则内联到 triaging-security-findings 中，而不是指向一个可变的 Jira 工单，修正严重性映射的 Hotfix/Critical 行，添加 当 aikido:issues 技能不可用时的回退指导，精简 过时的 Grype 比较措辞，并根据 Keep a Changelog 惯例 压缩/重新分类 CHANGELOG 条目。 * fix(bitwarden-security-engineer)：处理 Aikido 迁移剩余的 PR 审查发现 授予 agent 它缺失的 Aikido MCP 工具，以便 triaging-security-findings 和 reviewing-dependencies 在通过它路由时能够访问该数据源，更新 README 技能表，移除已停用的 Checkmarx/SonarCloud/Grype/GHAS 描述， 并让 perform-security-review 的 Aikido 证据具有与其其他扫描器相同的 结果词汇，这样缺失会话就不会被读作干净扫描。将 插件升级到 2.1.0，并将 Aikido 迁移 changelog 条目从 已发布的 1.4.0 部分移到它们自己的部分。 * docs(bitwarden-security-engineer)：澄清用法示例和 aikido 安装路径 Usage 块在 "Install the plugin and invoke the agent:" 之后没有 标签，因此它们被读作要运行的命令，而不是示例提示。按照 其他插件 README 的方式重新表述引导语。 先决条件还将 `aikido` 安装指向 `claude-plugins-official` marketplace。根据 PR #228，该插件改为在此 marketplace 中作为外部条目固定，因此注明上游作者并给出实际安装 命令。该命令的解析依赖于 #228 落地。 Co-Authored-By: Claude Opus 5 (1M context) * fix(bitwarden-security-engineer)：修正 README 中 aikido 插件安装来源 aikido 插件来自 claude-plugins-official marketplace， 而不是 bitwarden-marketplace 中的固定条目。相应修正安装 命令和 changelog 条目。 * fix(bitwarden-security-engineer)：为 Agent 2 提供预取的 Aikido SCA/container 证据 perform-security-review 禁止 Agent 2 实时调用 aikido:issues， 同时又告诉它调用 reviewing-dependencies，而后者的 Aikido 数据源正是同一个技能。步骤 1-C 现在会预取 open_source 和 docker_container 发现项以及 SAST/IaC，这样 Agent 2 就能通过 SCAN_EVIDENCE 块 获得数据。 * fix(bitwarden-security-engineer)：解决剩余的 Aikido PR 审查发现 - 在 perform-security-review 的 scan-evidence 规则中区分空响应与 None/Not available； 将 Not available 关联到失败/未认证响应 - 在 README 技能表和 perform-security-review 的先决条件中 反映 Aikido SCA/container 证据（不仅仅是 SAST/IaC） * fix(bitwarden-security-engineer)：处理第二轮 Aikido PR 审查发现 - 改写 agent 修复后验证，报告供工程师应用的 Jira 更新， 而不是确认一个它没有工具可访问的工单 - 逐字恢复已发布的 2.0.0 CHANGELOG 条目；将 Aikido 步骤 1-C 的措辞保留在 2.1.0 条目中 - 在 perform-security-review 的子代理约束和 reviewing-dependencies 中， 将 Aikido MCP 工具与 Skill(aikido:issues) 一并命名，这样持有授权的子代理 就无法重新获取已预提供的证据 - 更新 tool-grants.md 以匹配步骤 1-C：将提示/拒绝措辞限定到两个 gh api 扫描器，并从精确名称工具作用域论证 Aikido MCP 授权的安全性 （仅 aikido_issues_list，而不是 aikido_ignore_issue 变更操作） - 去重 CVSS 约定：在 triaging-security-findings 中说明，并从 reviewing-dependencies 指向那里 - 在 triaging-security-findings 的 gh api 示例中固定 API 版本头，以获得稳定的 --jq 输出 - 精简 2.1.0 CHANGELOG 条目 * 更新 plugins/bitwarden-security-engineer/skills/triaging-security-findings/SKILL.md Co-authored-by: claude[bot] * 更新 plugins/bitwarden-security-engineer/skills/reviewing-dependencies/SKILL.md Co-authored-by: Patrick Honkonen * fix(bitwarden-security-engineer)：移除不可操作的 Aikido 授权理由部分 SaintPatrck 指出 tool-grants.md 中的 "Why the Aikido MCP grant is pre-approved" 部分 读起来像是在为审查评论辩护，而不是 可操作的指导。移除它以及现在悬空的交叉引用，并 删除匹配的 CHANGELOG 提及。 --------- Co-authored-by: claude[bot] Co-authored-by: Graham Walker Co-authored-by: Claude Opus 5 (1M context) Co-authored-by: Patrick Honkonen

提供安全工程师 agent (#49) * 提供安全工程师 agent * 应用 Anthropic 的 skill-development 技能 * 实现技能增强 * 集成我们的安全定义和原则 * 基于我们的真实练习进一步指定定义格式 * 集中面向人类的链接并将其移出技能 * 将大型技能重构为参考和示例